ZTNAとは？VPNとの違いと社員が少ない会社での始め方をやさしく

ZTNAとは、利用者と端末を確かめてから、許可したアプリにだけ接続させる仕組みのことです。Zero Trust Network Accessの略で、VPNが社内のネットワークに入れるのに対し、ZTNAは目的のアプリへの通路だけを開きます。

今日やることは、社外から何に接続しているかを書き出すことです。誰が、どの機器から、どのシステムを、何のために使っているか。この表があれば、VPNを残す範囲と、ZTNAへ移せる範囲がほぼ見えてきます。

検討する理由は入口の被害にあります。警察庁の令和7年の報告⁠によると、ランサムウェア被害の組織へのアンケートで、侵入経路はVPN機器が6割以上でした。ネットワーク対策の全体像はネットワークセキュリティの解説⁠にまとめています。

VPNとZTNAは何が違う？

範囲が違います。VPNは「建物の入館証」⁠、ZTNAは「この部屋だけ開く鍵」⁠と考えると近いです。

フォーティネットの比較は、VPNでは接続した利用者が社内にいるのと同じようにネットワーク上のものに届くことが多いと説明しています。ZTNAは利用者と端末の確認後に、個別のアプリへの接続をセッションごとに許可します。

この表はメーカーの説明を整理したものです。実際の範囲は、VPNでも設定で狭められますし、ZTNAでも広く許可すれば広くなります。方式だけで安全度が決まるわけではありません。

考え方の元はゼロトラスト

NISTのSP 800-207は、ゼロトラストを、物理的な場所やネットワーク上の位置だけを理由に信頼を与えない考え方として説明しています。社内のものへのアクセスはセッション単位で許可し、権限は作業に必要な最小限にとどめる、という原則も示しています。

ゼロトラストは考え方で、ZTNAはそれを社外からのアプリ接続に当てはめた仕組みの1つです。ZTNAを入れただけで、会社全体がゼロトラストになるわけではありません。

公的機関は移行をどう見ている？

CISAなど各国の機関による指針は、規模を問わず事業者に対して、ゼロトラスト、SSE、SASEといった、より堅牢で通信を把握しやすい仕組みへ進むよう促しています。従来のリモートアクセスとVPNの弱点や、設定の誤りが持つ事業上のリスクも扱っています。米国などの機関の文書で、日本の会社に義務を課すものではありません。

日本では、IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版は、VPNを使う場合に強固なパスワードを設定し、可能なら多要素認証などを使うよう求めています。VPNを今すぐやめるよう指示する内容ではなく、使い方を固める話です。

VPNを今すぐ捨てる必要はある？

ありません。すぐに直すべきなのは、VPNの有無より、管理されていないVPNです。

警察庁の令和7年上半期の報告は、侵入の原因として、IDとパスワードが安易だったこと、不要なアカウントが管理されないまま残っていたことを挙げています。海外支社の機器を管理できず、そこから国内の本社に被害が及んだ事例にも触れています。

IPAのガイドラインは、VPN機器の入れ替えを社内で検討している間に感染した建設業の事例を、日本ネットワークセキュリティ協会の調査から紹介しています。別メーカーの機器をすぐ入れず、後継機種を待つ判断の間に感染し、対応に約2.5億円以上かかったとされています。移行を検討している間も、入口は開いたままです。

少人数の会社はどう始める？

一度に全部を移さず、1つ⁠のアプリから広げます。担当者が兼任の会社では、次の順番が無理がありません。

1. 社外接続の一覧を作る

利用者、機器、接続先、用途、頻度を書き出します。VPNで何をしているかを聞くと、実はクラウドサービスを使えば済む作業が見つかることもあります。そうした作業は、ZTNAに移すより先に接続そのものを減らせます。

2. IDの管理を先にそろえる

ZTNAは「誰か」⁠の確認に頼る仕組みなので、IDがばらばらだと効果が薄れます。社員のアカウントを1か所で管理し、多要素認証を有効にします。Microsoft 365やGoogle Workspaceをすでに使っているなら、その管理機能で足りるか確かめます。別の基盤を検討するならIdaaSの製品比較が参考になります。

退職者のアカウントがすぐ止まるかも、ここで確かめてください。

3. 影響の小さいアプリで試す

社外から使う頻度が高く、止まっても少しの間なら困らないアプリを1つ選びます。少人数に限って1〜2週⁠間使い、遅さや接続の失敗を記録します。

製品によって入れ方は違います。たとえばマイクロソフトのEntra Private Accessの説明では、まとめて指定するQuick Accessと、アプリごとに分けるアクセスの2つ⁠の設定方法があります。社内にコネクタを置いて、サービスと社内の接続先の間を仲介させ、条件付きアクセスの規則を組み合わせます。

4. アプリを増やし、許可の範囲を分ける

順に移しながら、部署や役割ごとに許可を分けます。最初に広く許可してしまうと、VPNと変わらない範囲が残ります。

5. VPNを縮小し、公開をやめる

使う人と用途が減ったら、VPNのアカウントを減らします。全部移せたら、VPN機器の社外公開を止めます。ここまで行かないと、入口は減りません。ZTNAを足しただけでVPNを残すと、守る入口が2つ⁠に増えるだけです。

ZTNAに移しにくいものは？

ネットワーク全体への接続が必要な作業と、古いシステムです。フォーティネットも、ZTNAがVPNを完全に置き換えるわけではなく、アプリ単位でなくネットワーク単位の接続が必要な場面ではVPNが残ると書いています。

Cloudflareの解説は、クラウドのアプリには対応しやすい一方、社内で動かしている古いアプリには追加の設定が必要になることがあると説明しています。試す段階で必ず確かめる項目です。

製造業の場合、どこから考える？

たとえば、営業が出先から生産管理の在庫画面を見る、設計者が自宅から図面を読む、設備メーカーが工場の機器を遠隔保守する、という3つ⁠の接続がVPNにまとまっている場合を考えます。

営業の画面はWebブラウザで使えるなら、最初の候補になります。図面は、ファイルサーバーの扱いが製品ごとに違うので、試して速度を見ます。設備の保守は最後に回します。メーカーの指定があったり、専用のソフトで通信したりすることがあるからです。

取引先や外注先に特定のシステムだけ見せたい場合も、社員と同じVPNを渡すより範囲を絞れます。ただし、社外の人の端末の状態をどこまで確かめられるかは製品で違います。外部の人の扱いは見積もりの前に質問してください。

工場のネットワークそのものの分け方は、ファイアウォールと工場の境目の考え方⁠を読んでください。ZTNAは接続先を絞る仕組みで、社内のネットワークを分ける作業の代わりにはなりません。

製品を選ぶときに何を聞く？

製品名を比べる前に、型を決めると絞りやすくなります。ZTNAの製品比較では、社内アプリへの接続を主な役目にした単体型、SSE・SASEと一体になった型、ファイアウォールに組み込まれた型に分けています。VPN置き換えだけなら単体型、今のファイアウォールを活かすなら組み込み型が出発点です。Webの閲覧の保護まで同時に考えるならSSE・SASE型を見ます。拠点の回線も見直すなら、SD-WANが必要かの判断⁠と合わせて考えてください。

見積もりの前に、次を質問します。

• 1人あたりの費用と最低の契約人数
• 社内に置く中継の機器やソフトの有無と、その更新の担当
• 古いアプリ、ファイルサーバー、リモートデスクトップへの対応
• 端末にソフトを入れない利用者や社外の人への対応
• サービスが止まったときの代わりの接続手段
• 誰がいつどのアプリに接続したかの記録の保存期間

最後の2つ⁠は見落とされがちです。特に、サービスの障害時に業務をどう続けるかは、VPNを完全に止める前に決めておきます。法人向けVPNの比較も並べて見ると、当面VPNを整える場合との費用の差がつかめます。

社内にサーバーが無い会社は要らない？

要らないことが多いです。接続先がすべてクラウドサービスなら、ZTNAで守りたい社内アプリがありません。この場合に優先するのは、サービスごとのIDの管理、多要素認証、端末の管理です。

反対に、社内に基幹システムやファイルサーバーがあり、社外から使う人がいて、VPNの管理に手が回っていない会社は、検討する価値があります。判断の分かれ目は社員数ではなく、社外から社内の何に接続しているかです。