ゼロトラストの具体例は？社員30人⁠の会社で何が変わるのかを表で解説

ゼロトラストの具体例とは、社内の回線につないでいても信用せず、誰がどの端末から使おうとしているかを確かめてから、必要なデータにだけ接続を許す運用のことです。NISTの文書SP 800-207は、ネットワーク上の場所や資産の所有だけを理由に、暗黙の信頼を与えないことをゼロトラストの前提としています。

今日やることは1つです。社内で使っているクラウドと、社外から接続している社内システムを、紙1枚⁠に書き出してください。Microsoft 365、会計、図面の共有フォルダ、VPNなどを並べ、それぞれに「多要素認証の有無」⁠と「退職時に誰がIDを止めるか」⁠を書き足します。

この一覧が埋まれば、次に何を変えるかが見えてきます。

説明に使う架空の会社はどんな会社？

ここからは説明のために設定した架空の会社で考えます。実在の事例ではなく、私たちの顧客の話でもありません。

• 金属部品を作るメーカーで、社員30人⁠。本社事務所と工場が同じ敷地にある
• メールと文書はMicrosoft 365を使う
• 図面と見積書は事務所のファイルサーバーに置いている
• 営業と設計の6人が、VPNで社外や自宅から社内につなぐ
• 協力工場に図面を渡すときは、メールか共有リンクを使う

よくある形です。社内に入れば、たいていのフォルダを開けるようになっています。

ログインと図面への接続はどう変わる？

変更の前と後を、場面ごとに並べます。

社員の作業として目に見えて増えるのは、多要素認証の設定と毎回の確認です。手間の増え方は製品と設定で変わるので、導入前に数人で試してください。

仕組みの変化を言葉にすると？

変わるのは、守る場所の考え方です。これまでは「社内と社外の境目」⁠を強く守り、中に入った人は信用していました。ゼロトラストでは、データやサービスに接続する一回ごとに確かめます。

この架空の会社で使う部品は、大きく3つです。

ログインを1か所にまとめるIDaaSは、複数のクラウドのIDと認証をまとめて管理します。退職者のIDを止める作業も集約できます。候補を見るならIDaaSの製品比較が入口になります。

本人確認を強める多要素認証は、パスワードだけに頼らない仕組みです。すでに持っているサービスの設定で使える場合もあるので、多要素認証の製品比較を見る前に、今の契約で何ができるか確かめてください。

接続先を絞るZTNAは、人と端末を確かめ、許可したアプリにだけつなぎます。VPNの代わりに検討するのはこの部分です。ZTNAの製品比較で、接続の形や置き換える範囲を比べられます。

条件ごとに接続の扱いを変える機能の例として、Microsoft Entraの条件付きアクセス⁠があります。公式の説明では、ユーザーとデバイスのIDなどの情報をもとに、「このサービスを使うなら多要素認証を求める」⁠と⁠い⁠っ⁠た決まりを適用します。利用にはMicrosoft側の契約条件があるので、自社のプランで使えるかを確かめます。

どの順番で進めると無理がない？

一度に全部を変えなくても構いません。IPAの「ゼロトラスト移行のすゝめ」（2022年6月）⁠は⁠、IDの統制、端末の統制と保護、ネットワークのセキュリティ、データ漏洩の防止、ログの収集と分析に分けて整理し、最も重要なものとしてID管理を挙げています。ログの分析基盤を後に回す理由も、防御の土台を先に作るためだと説明しています。

この資料は人材育成プログラムの成果物で、30人⁠の会社向けの手順書ではありません。30人⁠の会社では、私たちは次の順番に置き換えて考えます。

1. 使っているクラウドと社内システムの一覧を作り、退職時の手順を決める
2. Microsoft 365などの主なログインを多要素認証にする
3. 会社の端末の更新状況と紛失時の手順を確かめる
4. 図面や見積書のフォルダの権限を、部署と役割で分け直す
5. VPNを使う人と、つなぐ先を洗い出す。必要なものだけをZTNAへ移すか判断する
6. ログを誰がいつ見るかを決める。社内で無理なら外に任せる

1番から4番は、新しい製品を買わずに始められる部分もあります。

図面を守りたい製造業はどこを見る？

たとえば、取引先から預かった図面を社内で扱う場合です。「社内にいれば誰でも開ける」状態では、1台⁠の端末やIDが乗っ取られたときに、見られる範囲が広くなります。どのフォルダを誰が使うかを整理すると、この範囲を狭められます。

警察庁の令和8年上半期のサイバー脅威の情勢では、ランサムウェアの被害報告が123件で、組織の規模別では中小企業が約6割⁠、業種別では製造業が約3割でした。社外からの入口と、社内で広がる範囲の両方を見直す理由になります。

工場の生産設備は、同じやり方をそのまま当てはめないでください。古い制御機器では多要素認証や専用のソフトが使えないことがあり、設定の変更が生産に影響することもあります。設備は設備会社も交えて別の計画にします。

VPNはすぐにやめるべき？

やめるかどうかは、つなぐ先で決まります。社内のサーバーに残るシステムが多ければ、VPNをしばらく残す判断も自然です。

残すなら管理を緩めないでください。IPAの中小企業向けリスク事例集（2026年3月）⁠は⁠、VPNの対策として、機器のソフトウェアの更新、初期ユーザー名や弱いパスワードの廃止、使わないアカウントの削除、ログインの多要素認証、ゼロトラスト型のリモートアクセスへの移行の検討を挙げています。

VPNにFortiGateを使っている会社は、契約の期限も確かめてください。FortiGateのUTMライセンスが切れたときの動きで、止まる機能と止まらない機能を分けています。入口の通信の監視まで考えるなら、IDS・IPS製品の比較の見方⁠も参考になります。

ゼロトラストだけでは足りないものは？

接続の確かめ方を変えても、データが壊れたときの戻し方は別に用意する必要があります。先ほどの警察庁の資料では、ランサムウェアの被害の復旧に総額1,000万円以上⁠を要した組織が全体の6割で、1か月未満で復旧した組織は5割弱にとどまりました。

架空の会社なら、図面サーバーのバックアップをネットワークから切り離して持つか、戻す手順を試したことがあるかを確かめます。パソコンの中の動きを見る対策も、接続の管理とは別の仕事です。ゼロトラストは、守りの一部を組み替える考え方として捉えてください。

導入を頼む前に確かめることは？

製品名から入ると、今のシステムと合わないものを選びがちです。次の項目を、見積もりの依頼文に入れてください。

• 利用者の数、管理者の数、協力会社の人を含めるか
• つなぎたい社内システムと、その置き場所
• 会社の端末だけか、個人のスマートフォンも認証に使うか
• パソコンを持たない現場の社員がIDを使うか
• 障害時や端末紛失時に、誰がIDと接続を止めるか
• 今のVPNの契約の残りと、並行して動かす期間

ネットワーク全体の話は、ネットワークのセキュリティのカテゴリ⁠にまとめています。最初の一歩は、紙1枚⁠の一覧で足ります。