ゼロトラストのデメリットは？導入で起きる不便と費用を正直に整理する

ゼロトラストのデメリットは、初期の費用が増えること、認証の手間、古いシステムとの相性、特定の製品への依存、運用の負担の5つ⁠に整理できます。

今日やることは、社外からつなぐ人数、使っているシステムの一覧、VPNにかかる年間の費用を書き出すことです。古いシステムには印を付けます。この3つ⁠が揃えば、ベンダーの提案を受けるときに、増える費用と減る費用を自分で比べられます。

ゼロトラストを否定する記事ではありません。米国CISAの成熟度モデル（2023年4月）⁠も⁠、推進の立場でありながら費用や難しさを正面から書いています。考え方そのものはゼロトラストの7つの要件⁠で説明しているので、ここでは負担の側を見ます。

費用はどのくらい増える？

金額は構成で大きく変わり、中小企業の相場を示す公的な統計は確かめられませんでした。確かな傾向として、費用は最初に増えます。

CISAの成熟度モデルは、必要な機能やサービスを実装すると、初めは追加の費用が生じることが多いと書いています。段階的に進めれば、費用を一度に負担せず、時間で分散できるとも説明しています。

IPAの産業サイバーセキュリティセンターの修了プロジェクトがまとめた資料（2022年）⁠は⁠、もっと率直です。今までできていなかった対策を行うので基本的に費用は増える、ライセンスの置き換えで削減できる組織もあるが、必ず得をするとは考えないほうがよい、という内容です。

公開価格の例を1つ計算します。Microsoft Entraの価格ページ（2026年11月7日確認）⁠で⁠は⁠、年払いの月額相当で、1ユーザーあたりEntra ID P1が1,049円⁠、Private Accessが749円です。いずれも税抜です。

30人⁠で両方を単体で買うと、1,798円×30人×12か月⁠で年64万7,280円です。製品を勧める計算ではなく、規模の感覚をつかむ例です。すでに持っているライセンスや構成で変わります。

見積もりに出にくい費用

ライセンスの月額だけで比べると、次の費用を見落としやすくなります。

• 設計と設定を外部へ頼む費用
• 端末へのソフトの配布、登録、問い合わせ対応にかかる社内の時間
• 移行の間、VPNと新しい仕組みを両方持つ費用
• 端末の管理製品やログの保存など、前提となる別の契約

IPAの資料は、ロードマップに「新たに発生するコスト」「不要になるコスト」「得られる効果」⁠とその時期を整理するよう勧めています。VPNの保守費が減るとしても、減るのは撤去できてからです。

ログインの回数と手間は増える？

条件の決め方で増えます。NISTのゼロトラスト文書SP 800-207は、普段どおりの行動に対して再認証を求め続けると、使いにくさの問題につながると書いています。安全性、使いやすさ、費用の釣り合いが大切だという立場です。

現場で増えやすい手間は、次のとおりです。

• スマートフォンなどでの認証の操作
• 端末の登録と、管理ソフトのインストール
• 端末の更新が遅れたときの接続の拒否
• 機種変更や紛失のときの再設定

一方で、シングルサインオンでまとめると、サービスごとのパスワード入力が減る場合があります。IPAの資料も、IDaaSの効果としてユーザーの利便性の向上を挙げています。製品の方式はIDaaSの比較で確かめられます。

社員全員に同じ強さを求めるのではなく、重要度で分けます。たとえば、受発注や図面の閲覧では確認を強くし、普段の社内ポータルでは回数を抑えるといった形です。スマートフォンを持たない現場の社員がいるなら、認証の手段も先に決めます。

古いシステムとの相性は？

ここが製造業では最大の論点になりやすい部分です。

CISAの成熟度モデルは、古いシステムは固定の条件で信頼する形が多く、ゼロトラストの考え方と衝突するため、投資が要ると書いています。NISTも、ゲートウェイと直接やり取りできない古いデータベースのような例を挙げ、資源のまとまりの手前にゲートウェイを置く方式を説明しています。

たとえば、工場の生産管理システムが古いWindowsのPCで動いていて、設備メーカーの指定でOSの更新やソフトの追加ができない場合を考えます。この場合、端末に入れるソフトが動かない、多要素認証に対応しない、独自の通信がアプリ単位の接続に載らない、といった点を確かめる必要があります。

無理に全部を移す必要はありません。NISTは、大きな組織が1回⁠の更新で移るのは考えにくく、ゼロトラストと従来の境界型が併存する期間が続きうると書いています。古い設備は、工場のネットワークを分け、外との接続を絞る守り方を続けます。IPAの中小企業向けガイドライン第4.0⁠版も、工場など用途の違うネットワークの分離を求めています。

ベンダーへは「対応できますか」⁠と聞くだけでは足りません。動かないシステムの名前と版、接続の種類を渡して、試験の結果で確かめます。IPAの資料によると、Webアプリ以外のレガシーアプリは、端末へのエージェント導入で接続できる製品もあります。製品ごとの差なので、製品の資料で確かめます。

製品やサービスへの依存は問題になる？

問題になりえます。NISTは、ゼロトラストの判断に使う情報の形式に共通の標準が少なく、特定の提供者に縛られる場合があると書いています。提供者に問題が起きても、移行に大きな費用や長い期間がかかる可能性があります。

もう1つ⁠は停止の影響です。接続の可否を判断する部分が止まったり妨害されたりすると、業務に影響が出ます。NISTは、適切に守られたクラウドや複数箇所への配置で危険を和らげられるが、なくせるわけではないとしています。これは従来のVPNでも起こる問題だとも述べています。

設定のミスも影響が広がります。管理者の変更で業務が止まるおそれがあるので、変更の記録と監査を求めています。

契約の前に、次を聞きます。

• サービスが止まったときに、工場や受発注をどう動かすか
• 管理者のIDが使えなくなったときの復旧の手順
• 解約するときに、設定やログを取り出せるか
• SLAの内容と、障害の通知の方法

拠点の通信まで一体で預けるSASEの比較を検討するときは、依存の範囲が広くなる点も合わせて見ます。

導入すれば運用は楽になる？

楽になる部分と、新しく増える部分があります。IDの管理がまとまれば、管理の手間は減る可能性があります。ただ、次の仕事は残ります。

• 誰に何を許可するかのルールを作り、人事異動ごとに直す
• 通知とログを見て判断する
• 新しいシステムを追加するたびに設定する
• 例外を増やしすぎないように管理する

NISTは、移行の前に資産、利用者、業務の流れを調べるよう書いています。情報が足りないと必要なアクセスが拒まれ、業務が止まるおそれがあるからです。CISAも、経営層、IT、データの持ち主、利用者の協力が要ると書いています。兼任の担当者1人⁠に任せると、ここで止まりやすくなります。

入れれば安全、という誤解にも注意します。NISTは、正しい認証情報を持つ攻撃者や内部の不正は、そのアカウントに許された範囲へはアクセスできてしまうと説明しています。集めたログや設定の管理画面も狙われる対象です。守りの範囲は狭くできますが、なくなるわけではありません。

IPAの資料は、ゼロトラストは製品を指すものではなく、ベンダーに依頼するだけでは実現しないと書き、移行そのものが目的になる危険も指摘しています。

自社に合うかは、どう判断する？

判断の材料を、合いやすい場合と急がなくてよい場合に分けます。これは私たちの整理で、公的な基準ではありません。

合いやすい場合：

• VPN機器のサポートが近く切れる
• クラウドのサービスが増え、IDの管理が追いつかない
• 外部の保全会社や協力会社、多拠点からの接続が多い

急がなくてよい場合：

• 社外からの接続がほとんどなく、サービスも少ない
• 多要素認証、更新、バックアップがまだ揃っていない
• 運用する人も、外部に頼む予算もない

後の2つのような会社は、先に基本の対策を固めても遠回りにはなりません。VPNを使い続けるなら、VPN機器の点検項目と置き換えの判断⁠を先に済ませます。

進めるなら、全社一斉ではなく、対象を絞ります。社外から使う1つ⁠の業務システムを、10人程度で試す形が考えやすいでしょう。試すときに測るのは、問い合わせの件数、接続できなかった回数、担当者の作業時間です。

製品を比べる段階では、ZTNAの製品比較で価格の公開の有無と接続の方式を確かめます。周辺の対策はネットワークセキュリティの対策一覧⁠にまとめています。売り込みの電話で機器の導入を急かされたときの返し方は、UTM義務化の確かめ方と断り方⁠に書きました。