“一気にやらない”ゼロトラスト――脱VPNを成功に導く現実的なアプローチ

VPN機器の脆弱性を起点としたランサムウェア被害が相次ぐ中、「脱VPN」やゼロトラストアーキテクチャへの移行は、多くの情報システム部門にとって現実的な検討課題として浮上している。特に、新型コロナウイルス感染症の流行を契機に、急ごしらえでVPNの整備を進めた企業にとっては喫緊の課題だ。

しかし、その解決策の筆頭として挙げられるSASE（Secure Access Service Edge）の導入には、多くの企業で足踏み状態にあるのが実情だ。「機能は豊富だが、コスト負担が大きい」「多くの機能を使いこなせるだけの知識を持った技術者がいない」——こうした "SASEの壁" に阻まれているケースは少なくない。

本稿では、これまで数多くの企業でSASE導入やゼロトラスト移行を支援してきた日立ソリューションズ セキュリティデジタルソリューション本部の小林淳氏、長田義之氏にインタビューを実施。企業が陥りがちな脱VPNの落とし穴と、その壁を乗り越えるための現実的な解となる、スモールスタートのアプローチについて話を伺った。

• 

インタビュイー
(右)：株式会社日立ソリューションズ セキュリティデジタルソリューション本部 認証・クラウドセキュリティソリューション部 第3グループ 主任技師 小林淳 氏
(左)：株式会社日立ソリューションズ セキュリティデジタルソリューション本部 認証・クラウドセキュリティソリューション部 技師 長田義之 氏

ゼロトラストへ移行したいが……、企業を悩ませる“コスト感”

業務システムやデータが社外へ分散し、ネットワークの境界そのものが曖昧になる中、攻撃手法の高度化も相まって、従来の境界防御モデルは限界を迎えつつある。日立ソリューションズでセキュリティソリューションの拡販から運用までを統括する小林氏は、現在の市場環境について次のように指摘する。

• 

  株式会社日立ソリューションズ セキュリティデジタルソリューション本部 認証・クラウドセキュリティソリューション部 第3グループ 主任技師 小林淳 氏

「新型コロナウイルス感染症が流行した2020年前後に導入されたVPN機器も導入から数年が経過し、見直しの時期を迎えています。加えて、大手企業におけるランサムウェア被害では、再発防止策の一環としてVPN依存の構成を見直す動きも報じられました。こうしたこともあり、ゼロトラストへ移行したいというご相談が増えています」(小林氏)

解決策として、ネットワーク機能とセキュリティ機能をクラウド上で統合するSASEは有力な選択肢とされており、大企業を中心に導入が進んでいる。しかし、これから検討を始める企業の中には、SASEがハードルの高い選択肢となってしまうケースもある。その大きな要因のひとつが、コストだ。

「ゼロトラストへの移行を検討されているお客さまは『VPNの代わりとして、リモートアクセスとWebの出口を安全にしたい』という明確な課題を持っています。しかし、一般的なSASE製品は多様な機能を包括的に提供するため、企業によってはオーバースペックになり、コストがネックになってしまう場合があります」(小林氏)

さらに、主要なSASE製品の多くが海外ベンダーによって提供されており、大規模利用を前提としたライセンス設計が採用されている点も、導入の難易度を高めている。約20年にわたりセキュリティ製品の開発・構築に携わり、数多くのSASE導入現場を見てきた長田氏は次のように語る。

「海外製品は、最低でも50〜100ライセンスからの契約となるものが多く、構成によっては最低ライセンス数であっても年間で数百万円規模になるケースもあります。そのため『必要ライセンス数が最低ライセンス数に満たない』、『一部の部門だけの少数ユーザーからの段階的な導入（スモールスタート）に不向き』といった難しい場面も見受けられます」(長田氏)

加えて、日本企業にとって無視できないのが、海外製品特有の為替による影響だ。

「初年度は予算内に収まったとしても、更新時に為替の影響により価格が上昇し、結果的に当初の想定を上回るコストとなる場合があります」(小林氏)

コストの見通しが立ちにくいことが、中長期のIT予算を組むうえでの足かせになっている。安全性は高めたい、しかしコストは読めない——この板挟みが、ゼロトラストへの移行を妨げているのだ。

段階的移行という現実的な解

比較的予算に余裕のある企業でも、SASEの導入プロジェクトが計画どおりに進まないケースがある。背景には、ネットワーク全体の見直しに伴う大規模な変更が発生する場合があるからだ。

• 

  株式会社日立ソリューションズ セキュリティデジタルソリューション本部 認証・クラウドセキュリティソリューション部 技師 長田義之 氏

「お客さまも『どうせコストをかけるなら、一気に刷新したい』と考えがちです。しかし、既存のネットワークや通信を広範囲に見直す場合、どのシステムにどのような影響が出るか、事前の洗い出しに膨大な労力がかかります。結果的に見積もりが膨れ上がり、社内決裁を得られずに計画が見直しになるケースを何度も見てきました」(長田氏)

そこで日立ソリューションズが推奨するのが、一度にすべてを刷新するのではなく、リスクを抑えながら進める段階的な移行、いわゆるスモールスタートのアプローチだ。

「万が一、問題が発生した場合に切り戻しができるよう、まずは機能や適用範囲を限定して導入するのが現実的です。たとえば、脱VPNが最優先であればZTNA機能から始めるなど、優先度の高い領域から段階的に取り組むのがよいのではないでしょうか」(長田氏)

運用負荷を抑える「ホワイト運用」と、国産ならではのメリット

この段階的なアプローチを後押しする選択肢として、日立ソリューションズが提案しているのが、デジタルアーツが開発・提供する国産の統合ゼロトラスト基盤「Z-FILTER」だ。

Z-FILTERは、社外からの安全なアクセスを実現するZTNA（Zero Trust Network Access）、Webアクセスを保護するSWG（Secure Web Gateway）、そしてクラウド上のID管理・認証を行うIDaaS（Identity as a Service）など、ゼロトラストの核となる機能を単一のプラットフォームで提供する。

• 

  ゼロトラストを実現する機能を一つのプラットフォームで提供

特長のひとつは、専用エージェントとプリセットポリシーを活用することで、複雑な機器構成や煩雑な初期設定における負荷を抑えつつ導入を開始できるという手軽さだ。

さらに運用面では、「ホワイト運用」と呼ばれる独自の仕組みにより、情報システム部門の管理負荷の軽減を図っている。

「従来は、危険な宛先を順次ブロックしていくブラックリスト型が主流でしたが、URLが頻繁に変わる攻撃に対しては対応が難しい側面があります。Z-FILTERでは、メーカー側で安全性を確認した宛先のみを許可するというホワイトリスト型を採用しています」(長田氏)

通常、ホワイトリスト型は「このサイトを許可してよいか」を情報システム部門が都度判断し、手動でリストを更新しなければならないため、運用負荷が課題になりやすい。しかしZ-FILTERでは、メーカー側が高精度なデータベースをクラウド上で構築・更新し、安全と判定したURL情報を自動で配信してくれる。企業側は、業務上不要なカテゴリーを制御するだけで、ゼロトラストの考え方に沿った高い安全性と運用のしやすさを両立できるのだ。

また、国産であることのメリットも見逃せない。

「管理画面やマニュアル、サポートがすべて日本語で提供されているため、運用担当者にとって扱いやすい点は大きなメリットです。また、為替の影響を受けないため、契約更新時の価格変動を気にする必要がありません。中長期的なIT予算の見通しが立ちやすくなります」(小林氏)

機能面でも、上長などの承認を得た場合のみアクセスを許可する第三者認証機能など、日本企業特有の業務プロセスに即した仕様が盛り込まれている。現在、政府情報システムのためのセキュリティ評価制度であるISMAP（Information system Security Management and Assessment Program）の外部監査も受審中であり、ガバナンス要件への対応も進めている。

• 

  Z-FILTER導入時の構成イメージ

10ライセンスから小さく始め、全社へ広げる

「まずはVPN環境を改善したい」という現場のリアルな声に応えるべく、Z-FILTERではZTNA機能単独のプランも提供されている。また、10ライセンスから導入でき、最上位のSSE（Security Service Edge）プランでも年間20万円台*からとスモールスタートが可能だ。いきなり全社展開するのではなく、まずは少人数構成でのスモールスタートで検証を行うことが成功の鍵となる。* 2026年7月現在

「ZTNA機能を用いてアクセスする社内オンプレミスのシステムがWebベースのシステムであればスムーズですが、企業によってはオンプレミス環境で動く古いクライアントサーバー型のシステムが残っているケースがあります。特殊な通信が発生するシステムは、ZTNA機能使用下では工夫が必要です。こうした影響を全社展開前のスモールスタートでしっかりと洗い出し、潰していくことが重要です」(長田氏)

これまで、「ゼロトラストに移行したいが高価になってしまう」と二の足を踏んでいた企業にとって、Z-FILTERという選択肢が登場したインパクトは大きい。2025年11月に提供が始まったばかりだが、小林氏によると、すでに多くの顧客からポジティブな反応を得ているという。

• 

  プランごとの機能カバー範囲

「過去にSASEを検討したものの、予算が合わずに諦めていたお客さまにZ-FILTERをご提案すると、『これならうちでもいけそうだ』という評価をいただきます。これまでゼロトラスト化に踏み切れなかった企業の裾野を広げる起爆剤になると考えています」(小林氏)

ゼロトラストへの道のりは、決して一朝一夕で成し遂げられるものではない。日立ソリューションズは、国内外のSASE製品の導入支援で培った豊富なノウハウを持ちながら、Z-FILTERの構築から運用、他製品との連携までをワンストップで伴走する。

「働き方が多様化し、システムがクラウド化する中で、どこにいても同じようにセキュリティを担保するゼロトラストの実現は避けてとおれません。だからといって、一気にすべてを変えようとして頓挫しては本末転倒です。まずは『課題の大きいここだけを対策しましょう』という小さく確実な一歩から、我々と一緒に始めていただきたいです」(長田氏)

ゼロトラスト移行への歩みを止めていた企業にとって、Z-FILTERは現実的な解と言えるだろう。まずは専門家に相談するところから始めてみてはいかがだろうか。

• 

[PR]提供：日立ソリューションズ