ゼロトラストは社内にいるかどうかで信用を決めない考え方で、SASEはネットワークとセキュリティの機能をクラウドでまとめて提供する枠組みです。ZTNAは、その中で人とアプリをつなぐ部品にあたります。
今日やることは、手元の提案書やメーカーの資料で、この3つの語に線を引くことです。「考え方」の話か「製品」の話かを分けるだけで、提案の中身が読みやすくなります。あわせて、VPN、拠点の回線、社員のWeb閲覧のうち、今いちばん困っているものを1つ決めてください。
ネットワークの守りの話では、この3語が同じ意味のように使われることがあります。本当は並ぶ言葉ではありません。
言葉の関係はどうなっている？
| 語 |
正体 |
答える問い |
| ゼロトラスト |
考え方 |
誰を、どこまで信用するか |
| SASE |
製品やサービスの枠組み |
ネットワークと守りをどう提供するか |
| SSE |
SASEのうち守りの部分 |
回線はそのままで守りだけ足せるか |
| ZTNA |
接続の部品 |
社外の人を、どのアプリにつなぐか |
| SWG |
Web閲覧の部品 |
社員が見るWebをどう検査するか |
上から下に向かって具体的になります。経営の話ならゼロトラスト、製品の話ならSASE以下の語で話すと、社内の会議が混乱しません。
ゼロトラストとは何か？
NISTのSP 800-207は、ゼロトラストを、守りの中心をネットワークの境界から利用者や機器、情報そのものに移す考え方と説明しています。社内のネットワークにいる、会社の持ち物であるという理由だけでは信用しません。情報にアクセスする前に、利用者と端末を確かめて許可を判断します。
同じ文書は、ゼロトラストは1つの構成ではなく指針の集まりであり、技術を丸ごと入れ替えるだけでは達成できないとしています。「ゼロトラスト製品」という表現を見たら、その製品が考え方のどの部分を担うのかを聞くと実態が分かります。
デジタル庁のゼロトラストアーキテクチャ適用方針（2022年6月）は、政府の情報システム向けの文書ですが、読み方の参考になります。ゼロトラストを境界型の守りを拡張した考え方としており、適用方針の最初に挙げているのは、守るものを識別することと、人の身元と本人を確かめることです。ファイアウォールを捨てる話ではありません。
SASEとは何か？
SASEは、2019年にGartnerが提唱した概念です（IIJの解説）。IPAの中核人材育成プログラムの成果物であるゼロトラスト導入指南書（2021年6月）は、Gartnerの定義を紹介しています。セキュリティとネットワークの技術を単一のクラウド基盤に集約する枠組みです。
主な構成要素は、IIJの解説ではSD-WAN、SWG、ZTNA、CASBです。SD-WANは拠点の回線をソフトウェアで制御する技術で、SWGはWeb閲覧を検査するクラウド型のプロキシ、CASBはクラウドサービスの利用を見える化して制御する仕組みです。
含まれる機能は製品ごとに同じではありません。FortiSASEはSWG、ZTNA、CASB、FWaaSなどを、Cloudflare OneはZTNA、SWG、CASB、NaaS、FWaaSなどを挙げています。名前がSASEでも範囲は同じではないので、機能の一覧を確かめてください。
SSEとZTNAはどこに入る？
SSEは、SASEからネットワークの機能を除いた部分です。IIJの解説では、SASEはWANの入れ替えを伴うことが多く、緻密な計画が要る一方、SSEは今のWANに足す形で入れられます。ただし、ネットワークと守りの管理が分かれるので、運用の手間は残ることがあります。
ZTNAは、社外から社内のシステムへつなぐ部分です。フォーティネットの解説は、ネットワーク全体へのアクセスを許すVPNと違い、ZTNAは特定のサービスやアプリケーションへのアクセスだけを認めると説明しています。
用語の説明はメーカーごとに少しずつ違う
SASEやSSEは法律や規格で決まった言葉ではないので、各社の説明には自社の製品に合わせた書き方が混じります。比べるときは呼び名ではなく、機能と提供の形で見てください。
SASEを入れればゼロトラストになる？
なりません。SASEが担えるのは、接続の制御と通信の検査です。次のことは別に必要です。
- 守る情報とシステムを洗い出す
- 社員のIDを整理し、多要素認証を入れる
- 端末の状態を確かめる仕組みを持つ
- 誰が何にアクセスできるかのルールを作り、更新を続ける
順番としては、IDと情報の整理を先にするのが無理のない進め方だと私たちは考えます。ルールの土台が無いままSASEを入れると、全員に広く許可した設定で動き出し、今のVPNと実質的に変わらなくなるおそれがあるからです。
自社は何から入ればいい？
3つの語のどれかを選ぶのではなく、困りごとから入口を決めます。
| 困りごと |
入口 |
| VPN機器の更新が追いつかない、社外の人に広く入られたくない |
ZTNA |
| 社員の社外からのWeb閲覧を検査したい |
SWG |
| 拠点の回線と守りをまとめて作り直したい |
SASE |
製品の種類と価格は、ZTNAの製品比較、SWGの製品比較、SASEの製品比較で確かめられます。
1行目の背景には、警察庁の統計があります。令和7年の情勢報告によると、ランサムウェアの被害組織へのアンケートで、侵入経路はVPN機器が6割以上を占めました。ただし、VPNを置き換えれば被害を防げると決まるわけではありません。今のVPNを当面使い続けるなら、更新と多要素認証が先です。
出入口の機器を今後どうするかは、UTMの比較で見る7項目と並べて考えてください。社員数が少なく拠点が1つなら、機器の見直しだけで足りる場合もあります。VPN機器の脆弱性への動き方は、FortiGateの脆弱性の確認と対処の順番に、守る場所の違いはIDS・IPSとWAFの違いに書いています。
製造業の場合はどう考える？
たとえば、本社と工場が2つあり、設備メーカーが遠隔で保守に入り、取引先の図面をクラウドで受け取る会社の場合で考えます。
- 設備メーカーの遠隔保守は、接続先を保守に要る機器に絞れるかが問いになります。ZTNAの考え方に合う場面ですが、設備の保守契約で接続の方法が決まっていることがあるので、先に設備メーカーに確かめます
- 拠点の回線をまとめて作り直すならSASEが比較の対象になりますが、WANの入れ替えは工場の停止計画と合わせて考えます
- 図面の扱いはCASBやIDの設定の問題で、接続の製品を変えても解決しません
IPAの導入指南書は副題に「情報系・制御系システムへのゼロトラスト導入」と掲げ、認証機能のない制御系への適用も検証の対象にしています。ただ、生産設備の話は情報系より慎重に進めるべきです。まず事務所の側で考え方を試し、工場は設備の担当者と一緒に範囲を決めるのが順当です。
提案を受けたら何を聞く？
製品の提案を受けたときは、言葉の定義を聞くより、次の4点を聞くと中身が分かります。
- 今のVPNと拠点の回線は、どこまで残り、どこから変わるか
- 認証は今のID管理とどうつなぐか
- 月額の条件はユーザー数か拠点数か、必要な機能は標準か追加か
- 障害でサービスが止まったとき、業務はどう続けるか
クラウドで提供される以上、提供者の障害の影響は避けられません。工場の業務が止まらない形になっているかは、機能の表には出にくいので、導入前に具体的に確かめてください。
