ゼロトラストへの移行は、セキュリティの強化だけを目的に始まるとは限らない。クラウドの利用を広げたいのに、いまの守り方では広げられない、という行き詰まりが引き金になることがある。自社にとってどちらが動機なのかを取り違えると、必要のない投資になる。
愛媛県庁は次期ネットワーク基盤でゼロトラストを全面採用し、2027年1月の稼働開始を予定している（現時点では予定であり、稼働の完了ではない）。ネットワンシステムズとSCSKセキュリティの共同ニュースリリース、およびIT Leadersの2026年8月6日の報道による。
報道によれば、採用されるのはCato Networks（イスラエル）のSASE「Cato SASE Platform」と、ハミングヘッズの「セキュリティプラットフォーム」で、EPP/EDRの導入・拡張とSOC（セキュリティオペレーションセンター）の設置も行われる。Zero Trust Network Accessにより、自宅や外出先のインターネット回線から庁内システムやクラウドへ安全に接続できるようにし、CASB（Cloud Access Security Broker）、DLP（Data Loss Prevention）、SWG（Secure Web Gateway）といった機能を実装するという。
構成上の変化として報じられているのは、現行の「α'モデル」（ローカルブレイクアウト併用）から「β'モデル」への移行である。マイナンバー系を除く業務システムと端末を、インターネット接続系またはクラウド上に配置し、クラウド活用を拡大するとされている。システム構築はネットワンシステムズとSCSKセキュリティが受注している。
複数の拠点を持ち、在宅勤務も定着し、SaaSの利用も増えた。それなのにネットワークの作りだけが数年前のまま——という会社は多い。自治体の制度は自社に当てはまらないが、設計の骨格は読み替えられる。
この記事を読むべき人
- 拠点や在宅からの接続をVPNでまかなっており、遅さや障害が課題になっている会社
- SaaSの利用が増えたのに、通信を本社経由で折り返している会社
- 社外に持ち出すパソコンが増え、社内と社外で守り方が分かれている会社
- 「ゼロトラスト」の提案を受けたが、何が変わるのか理解できていない会社
- クラウド移行を進めたいが、セキュリティ面の判断で止まっている会社
SECURITY OPERATION
日常の脆弱性運用、情シス1人で回せる体制にしませんか？
月次棚卸・重大度判定・パッチ適用代行まで含む「セキュリティ運用伴走」プラン。単発対応からの卒業で、止まらない運用体制を作ります。
なぜ「境界で守る」が成立しなくなるのか
従来の守り方は単純だった。社内と社外の境目に関門を置き、そこを通る通信を検査する。社内にあるものは信用し、社外から来るものは疑う。この方式は、守るべきものが社内にあり、使う人も社内にいる限り、うまく機能する。
崩れる条件は3つある。使う人が社外に出たとき。守るべきものがクラウドに移ったとき。そして社外の端末から社内に入る経路が増えたとき。
この3つが同時に進むと、関門を通る通信の割合が下がっていく。社外の人が、クラウドにあるデータを、社外の回線から使う。この通信は、社内の関門を一度も通らない。関門を強化しても、そこを通らない通信は守れない。
VPNで社内に呼び戻す方法もあるが、これは通信量が増えるほど苦しくなる。会議の映像も、クラウドのファイルも、SaaSの画面も、すべて本社を経由して折り返すと、回線と機器の容量が先に限界を迎える。「VPNが遅い」という現場の不満は、設計が実態に合っていないという信号である。
愛媛県庁の事例では、移行の目的として利便性の向上とセキュリティの確保の双方が挙げられており、そのうえでクラウド活用の拡大が示されている。**クラウドを広げる方針と、守り方を変える必要は、同時に動いている。**自社で検討する場合も、「セキュリティのため」だけで議論を始めると、どこまでやれば十分かの判断基準が持てない。クラウドで何をどこまで使いたいのかを先に決めるほうが、必要な範囲が定まる。
ゼロトラストを製品名でなく設計として読む
提案書には多くの製品名と略語が並ぶ。SASE、ZTNA、CASB、DLP、SWG、EPP、EDR。これらを個別に理解しようとすると混乱するので、何を確認する仕組みなのかで分類すると見通しがよくなる。
横にスクロールして確認できます
| 確認する対象 | やっていること | 従来の代替物 |
|---|---|---|
| 誰か | 利用者、端末、接続先、リスクを継続的に評価し、必要に応じて追加の本人確認を求める | 社内にいれば信用する |
| どの端末か | 端末の状態（更新済みか、管理下か）を確認する | 社内のパソコンなら信用する |
| 何にアクセスするか | 利用者ごとに、必要な範囲だけ許可する | 社内網に入れば大半に届く |
| 通信の中身 | 危険なサイトや不審な送信を検査する | 出口の機器で検査する |
| 端末上の異常 | 端末で起きている不審な動きを検知する | ウイルス対策ソフトの検出に依存 |
| 検知したあと | 誰かが見て、判断して、対処する | ——（ここが抜けやすい） |
**この表の最下段が、投資判断で最も重要な行である。**検知の仕組みを導入すると、検知結果が出てくる。それを見て判断する人が必要になる。愛媛県庁の事例でSOCの設置が含まれているのは、この必然によるものと読める。
中堅企業がゼロトラストの提案を受けるとき、上5行の製品構成は詳しく説明されるが、最下段の運用体制が空欄のままになっていることがある。導入したが、アラートを誰も見ていない状態は、投資した分だけ損である。
VPNをやめる判断の前提条件
「VPNを廃止してZTNAへ」という提案は分かりやすいが、実行の前に確認すべき条件がある。すべて満たさなくても段階的に進められるが、把握しておく必要はある。
**条件1：社内にしか置けないシステムがどれだけあるか。**古い業務システムや、特定の機器と直接通信する仕組みは、そのままでは新しい方式に載らないことがある。これらが残る限り、社内網への経路は何らかの形で必要になる。
**条件2：端末を管理下に置けているか。**端末の状態を確認して許可する仕組みは、端末が管理されていることが前提になる。私物端末での業務や、管理ソフトが入っていない端末が多いと、そこが例外の穴になる。
条件3：利用者ごとの権限が整理されているか。「必要な範囲だけ許可する」には、誰に何が必要かが定義されていなければならない。現状が「社内網に入れば全部見える」だった会社では、この整理が移行作業の中で最も時間を要する。
**条件4：通信が集中する箇所の見積もりができているか。**方式を変えると、通信の経路と量が変わる。拠点の回線が細いままだと、切り替えた後に遅くなる。
**このうち条件3は、技術ではなく業務の整理である。**そして自社にしか答えられない。ここを外部に任せると、現状の権限をそのまま移す作業になり、「全員が全部見える」という状態が新しい仕組みの上で再現される。それでは移行した意味が薄い。
権限の整理が最も時間を食う理由
条件3で挙げた権限の整理が、移行作業の中で最大の難所になる。なぜそうなるのかを具体的に書いておく。
現状の権限は、記録として存在していないことが多い。「営業部は受注データを見られる」というルールが文書にあるのではなく、社内網に接続できれば見えるという状態が長年続いてきた。したがって、整理の第一歩は「現状の権限を書き出す」ではなく「あるべき権限を新たに決める」になる。決めるのは業務部門であり、情報システム部門には決められない。
例外が必ず出てくる。「経理だが、この案件のときだけ製造の図面を見る必要がある」「兼務しているので両方必要」「代理決裁のときだけ上位の権限が要る」。こうした例外は現場に埋まっており、事前には出てこない。切り替えた直後に「見えなくなった」という連絡が集中する形で表面化する。
**この2つへの対処は、順序で解ける。**いきなり全部を絞るのではなく、まず現状のまま移行し、そのうえで利用実績を見ながら絞り込む。誰が実際に何にアクセスしているかの記録が取れるようになってから絞るほうが、業務を止めずに進められる。
**ただし「後で絞る」は、期限を決めないと永久に来ない。**移行の計画に「稼働後3か月で権限の見直しを行う」と明記し、担当を決めておく。ここを曖昧にしたまま稼働すると、新しい仕組みの上で古い権限がそのまま固定される。
「絶対に外に出せないもの」を先に決める
愛媛県庁の構成で「マイナンバー系を除く」とされている点は、企業にとっても示唆がある。全部を同じ方式に載せるのではなく、扱いを分ける領域を明確にしている。
企業に置き換えるなら、次のような問いになる。自社にとって、外部のネットワークやクラウドに載せない、あるいは載せるとしても特別な扱いが必要なデータは何か。
- 顧客の機微な情報（医療、金融、信用に関わるもの）
- 取引先との守秘義務契約で扱いが定められているデータ
- 製造や設計の中核となる図面・レシピ
- 法令や業界規制で保管方法が定められている記録
**この線引きを先に決めておくと、移行の設計も費用も現実的になる。**線引きをせずに「すべてを最高水準で守る」と考えると、費用が跳ね上がり、判断が止まる。逆に線引きがないまま「クラウドに全部載せる」と進めると、後から法務や取引先の指摘で戻すことになる。
線引きの作業は、情報システム部門だけではできない。法務、営業、製造、経理がそれぞれ「これは出せない」を持っている。経営が場を設けないと、この整理は始まらない。
進め方としては、各部門に「出せないもの」を挙げてもらう形が早い。ただし挙がってきた理由を、契約・法令に由来するものと、心情に由来するものに分けて聞き直す必要がある。前者は動かせない制約であり、後者は説明と実績で変えられる。この仕分けをせずに全部を制約として扱うと、守るべき範囲が過大になり、クラウド活用の余地がほとんど残らない。実際には、「なんとなく外に出したくない」が理由の大半を占めることも珍しくない。
段階移行の順序
一度にすべてを切り替えるのは、規模を問わず難しい。着手しやすく効果が見えやすい順序を示す。
**第一段階：現状の可視化。**誰が、どこから、何に接続しているか。拠点ごとの通信量、在宅勤務者の人数、利用しているSaaSの一覧。**この段階で、把握していないSaaSが部署ごとに使われていることが判明する場合がある。**見つかればそれ自体が成果になる。
**第二段階：本人確認の強化。**多要素認証を、社外から使うすべてのサービスに広げる。ネットワークの作りを変えなくても実施でき、効果は大きい。多くの侵入は、盗まれた認証情報から始まる。
**第三段階：端末の管理。**端末の状態を把握し、更新されていない端末を検出できるようにする。ここまでで、「誰が」「どの端末で」の2つが押さえられる。
**第四段階：接続方式の変更。**ここで初めてZTNAやSASEの導入に入る。第一から第三が済んでいると、設計に必要な情報が揃っているため、提案の精度も上がる。
**第五段階：検知と対応の体制。**EDRなどの検知の仕組みと、それを見る体制。自社で持つか、外部に委ねるかを決める。
**多くの会社が第四段階から始めようとして、第一から第三の不足でつまずく。**接続方式を変えても、認証が弱く端末が管理されていなければ、守れる範囲は限られる。そして第一から第三は、第四に比べて費用がはるかに小さい。
なぜ第四段階から始まってしまうのか。理由は単純で、提案が来るのが第四段階だからである。ベンダーが売るのは製品であり、製品が関わるのは第四段階と第五段階になる。第一から第三は、社内の作業と既存機能の設定変更が中心で、売るものが少ない。
だからといって提案が不誠実というわけではない。**発注側が第一から第三を済ませていない状態で相談すれば、提案側はそこから始める提案を作れない。**現状が分からなければ設計もできないためだ。順序を守る責任は、発注側にある。
現場の体験は良くなるのか、悪くなるのか
セキュリティの投資は、現場から「使いにくくなった」と言われると続かない。ゼロトラストへの移行が現場にどう映るかを、先に把握しておく価値がある。
**良くなりやすいのは、社外からの利用である。**VPNに接続してから業務を始める手順がなくなり、社内にいるときと同じ操作で使えるようになる。回線の折り返しがなくなるため、速度も改善することが多い。在宅勤務や外出の多い部署ほど、体感の改善は大きい。
**悪くなりやすいのは、認証を求められる場面と例外の扱いである。**利用者が実際に何回認証操作をするかは、セッションの持続時間、端末の信頼状態、リスクに応じた認証の設計によって変わる。設計しだいでは従来のVPN接続より操作が減ることもあるが、増える設計もあり得る。また、前述のとおり権限を絞ると「今まで見えていたものが見えない」が発生する。
この非対称を、事前に伝えるかどうかで受け止め方が変わる。「速くなります」だけを説明して導入すると、認証の増加は裏切りとして受け取られる。「社外からの利用は楽になる。代わりに本人確認は増える。権限は稼働後に調整する」と先に伝えておけば、同じ事象が想定内になる。
もうひとつ、**移行直後は問い合わせが集中することを想定しておきたい。**接続できない、見えない、遅い。この時期に対応する人員を確保していないと、現場が独自の回避策を作り始める。私物端末での作業、個人のクラウドへのファイル持ち出し、パスワードの共有。**こうした回避策が定着すると、移行前より危険な状態になる。**投資が逆効果になる典型がここである。
費用の構造が変わることを織り込む
もうひとつ、経営として認識しておくべき変化がある。機器を買う費用から、月額で払う費用への移行である。
従来は、ファイアウォールなどの機器を購入し、5年程度使って更新するという形だった。投資は数年に一度まとまって発生し、その間の費用は保守料のみ。一方、SASEのようなサービス型の仕組みは、利用者数や機能に応じた月額課金になる。
この違いは、費用の総額より費用の性質に影響する。
- 初期の支出は小さくなるが、毎月の固定費が増える
- 利用者が増えれば費用も増える。人員計画と連動する
- 使わなくなれば減らせる。機器と違い、資産として残らない
- 価格改定の影響を毎年受ける
**どちらが安いかは、利用者数、回線、SOC、ログ保持、更新費、価格改定を含めて試算するまで判断できない。**そのうえで、決裁の仕方は変える必要がある。設備投資として一度承認すれば数年動くものではなく、継続的な運営費として毎年見直す対象になる。この認識がないまま導入すると、2年目以降に「なぜこの費用が毎月出ているのか」という議論が起きる。
比較する際は、機器を買う案とサービス型の案を、同じ期間・同じ機能範囲・同じ運用水準で並べる必要がある。機器側には購入費だけでなく、保守料、設置と設定の費用、更新時期の再投資、電力を含める。サービス側には月額に加えて、初期設定費、利用者増加の見込み、SOCやログ保持の費用を織り込む。**片方を初期費用だけ、もう片方を月額だけで比べると、判断を誤る。**差が出やすいのは、途中で人員が大きく増減する場合と、更新時期に一括の資金を用意できるかどうかである。
よくある質問
Q. 自治体の事例は、企業には当てはまらないのではないか。 A. 制度上の制約（マイナンバー系の扱いなど）は自治体固有である。一方、「クラウドを広げるために守り方を変える」「利用者と端末で守る方式へ移す」「検知の体制を同時に用意する」という設計の骨格は、企業でも同じである。読み替えるべきは制度ではなく構造のほうだ。
Q. 稼働予定が2027年1月と、公表から半年近く先なのはなぜか。 A. 規模にもよるが、この種の移行は設計、調達、構築、検証、移行に相応の期間を要する。特に権限の整理と例外の洗い出しに時間がかかる。自社で検討する場合も、決めてから使えるようになるまでの期間を短く見積もらないほうがよい。
Q. 中堅企業でSOCまで必要か。 A. 自社で24時間体制を作る必要はない。ただし検知の仕組みを入れる以上、検知結果を見て判断する役割は必要になる。外部のサービスとして調達する選択肢があり、規模によってはそちらが現実的である。判断すべきは「SOCを作るか」ではなく「検知結果を誰が見るか」である。
Q. 拠点が2〜3か所で、在宅勤務も少ない。それでも移行すべきか。 A. 急ぐ理由は薄い。境界で守る方式が成立しなくなるのは、社外からの利用とクラウド上のデータが増えたときである。その両方が限定的なら、現行の方式で当面は足りる。ただし第二段階の多要素認証だけは、規模を問わず実施する価値がある。盗まれた認証情報を使った侵入は、拠点数や勤務形態と関係なく起きるからだ。
Q. 既存のVPN機器の保守期限が近い。更新するか、移行するか。 A. 更新時期が重なるなら、比較する価値はある。ただし前述の第一から第三段階が済んでいない状態では、移行の設計に必要な情報が揃わず、見積もりが膨らむか、前提の甘い提案になる。**保守を1年延長して準備を進める、という選択肢も含めて検討したほうがよい。**期限に追われて設計すると、権限の整理が省略され、移行の効果が出ない。
Q. まず何から始めれば、費用をかけずに前進できるか。 A. 前述の第一段階、現状の可視化である。誰がどこから何に接続しているかを整理し、部署ごとに使われているSaaSを洗い出す。次に多要素認証を広げる。この2つは、大きな投資を伴わずに実施でき、しかも後の設計にそのまま使える。
自社の段階を見極めたいとき
ゼロトラストの提案は製品構成が中心になりがちで、自社にとって何が変わるのかが見えにくい。判断に必要なのは製品の比較ではなく、自社の現状がどの段階にあり、次に何をすべきかの見立てである。
現状の接続方式、利用しているサービス、権限の整理状況を確認したうえで、着手すべき順序を整理したい場合は、セキュリティ関連サービスを見てほしい。既にベンダーから提案を受け取っていて、自社の段階に合っているかを確認したい場合も同様に対応する。
検知の仕組みを導入したあとの運用まで含めて委ねたい場合はセキュリティ保守・運用の継続支援、クラウド移行や業務システムの再配置と合わせて設計したい場合はシステム開発・DX推進の相談が該当する。自社の現在地を先に把握したい場合はDX成熟度診断から始められる。詳しくはお問い合わせから知らせてほしい。
なお、ゼロトラストの定義、費用の全体像、中小企業向けの導入ロードマップは中小企業のゼロトラスト導入ガイドで整理している。本稿は、愛媛県庁のモデル移行を起点に、拠点・リモート接続の再設計へ焦点を絞っている。
参照した情報
- ネットワンシステムズ・SCSKセキュリティ 共同ニュースリリース（受注企業、採用製品、機能、モデル移行、2027年1月稼働予定）: https://www.netone.co.jp/news/release/20260806_01.html
- IT Leaders「愛媛県庁、次期ネットワーク基盤でゼロトラストを全面採用」（2026年8月6日）: https://it.impress.co.jp/articles/-/29662
- 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（各モデルの定義）: https://public-comment.e-gov.go.jp/pcm/download?seqNo=0000281003
採用製品、α'モデルからβ'モデルへの移行、2027年1月の稼働予定、構築を受注した企業名は、ネットワンシステムズとSCSKセキュリティの共同ニュースリリースで確認した。**2027年1月は稼働開始の予定であり、確定した実績ではない。**α'モデル（LGWAN接続系から限定したクラウドへローカルブレイクアウトするモデル）とβ'モデル（主な業務端末と重要情報資産をインターネット接続系に置くモデル）の定義は、総務省のガイドラインの整理に沿っている。ただし三層分離やマイナンバー利用事務系の扱いは自治体固有の制度的制約であり、企業にそのまま当てはまるものではない。境界防御が成立しなくなる条件の整理、VPN廃止の前提条件、段階移行の5段階、費用構造の変化に関する記述はGXOが企業向けに読み替えたものであり、愛媛県および関係各社の見解ではない。
