LASSIC Media らしくメディア

LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託

ゼロトラストとは——「信頼しない、常に検証する」セキュリティモデルの定義

ゼロトラスト（Zero Trust）とは、ユーザー・デバイス・ネットワーク位置を問わず、すべてのアクセス要求を継続的に検証することを前提としたセキュリティアーキテクチャを指します。米国国立標準技術研究所（NIST）が2020年8月に公表した「NIST SP 800-207 Zero Trust Architecture」^*1では、「静的なネットワーク境界ベースの防御から、ユーザー・資産・リソースの保護に焦点を移すサイバーセキュリティパラダイムの進化する集合体」と定義されています。

従来の境界型防御との根本的な違い——「内部を無条件に信頼する」前提の崩壊

従来の境界型防御では、ファイアウォールやVPNでネットワーク境界を引き、「内側は信頼できる・外側は危険」という前提でアクセス制御を設計してきました。しかしテレワークの普及・クラウド移行・モバイルデバイスの多様化によって、「信頼できる内部ネットワーク」という境界は実質的に消失しています。

境界型防御の主要な弱点は、一度内部に侵入した攻撃者やマルウェアが横断的に移動（ラテラルムーブメント）できる点です。ゼロトラストは「内部でも外部でも検証する」原則により、侵害が発生しても被害の横拡大を抑制できます。

NIST SP 800-207が示す7テネット——ゼロトラストを実現する設計原則

NIST SP 800-207^*1は、ゼロトラストアーキテクチャを実現するための7つの基本テネット（設計原則）を定義しています。これらはゼロトラストシステムの理念的な指針であり、特定製品や技術に依存しない形で整理されています。

• すべてのデータソースと計算サービスをリソースとして扱う：物理デバイスからクラウドサービスまで、保護対象として明示する
• すべての通信はネットワーク位置を問わずセキュアにする：内部ネットワークだからといって暗号化や認証を省略しない
• リソースアクセスはセッション単位で付与する：継続的なアクセス権ではなく、都度認可を行う
• アクセスポリシーは動的に決定する：ID・デバイス状態・行動ベースのリスクスコアなど複数の属性を組み合わせる
• すべての資産のセキュリティ状態を継続的に監視・評価する：デバイスやサービスの状態を常時確認する
• すべての認証・認可は動的で厳密に施行する：アクセス前にIDを検証し、最小権限を付与する
• 資産・ネットワーク・通信に関するデータを収集し続ける：セキュリティポスチャを継続的に強化するための情報収集

これらのテネットは「すべてを一度に実装する」ものではなく、自社の環境・リスクレベルに応じた段階的な実装が現実的なアプローチとされています。

ゼロトラストの5つの構成要素——ID/デバイス/ネットワーク/アプリ/データを保護

ゼロトラストアーキテクチャは、保護する対象を5つの構成要素（ピラー）に分類して設計します。米国CISAが公表した「Zero Trust Maturity Model」では、Identity（ID）・Device（デバイス）・Network（ネットワーク）・Application/Workload（アプリケーション/ワークロード）・Data（データ）の5つを軸として整理しています。

ID管理とアクセス制御（IAM）——誰がどのリソースにアクセスするかを常時検証

ゼロトラストの起点はID（アイデンティティ）管理です。IAM（Identity and Access Management：IDアクセス管理）基盤を中心に、MFA（多要素認証）・シングルサインオン（SSO）・特権アクセス管理（PAM）を組み合わせます。

ユーザーの行動ベースリスクスコアを用いた継続的認証（CARTA：Continuous Adaptive Risk and Trust Assessment）により、ログイン後も異常なアクセスパターンを検知して再認証を要求する仕組みが有効です。Microsoft Entra ID（旧Azure AD）・Okta・Google WorkspaceといったクラウドネイティブなIDプロバイダーが代表的な実装製品として挙げられます。

デバイス信頼評価——端末のセキュリティ状態をリアルタイムで確認

ゼロトラストでは、ユーザーIDが正しくても接続デバイスがセキュアな状態でなければアクセスを拒否します。MDM（モバイルデバイス管理）・EDR（Endpoint Detection and Response：エンドポイント検知・対応）と連携し、OSパッチ適用状況・ウイルス対策ソフトの稼働状態・暗号化設定を常時チェックします。

特にBYOD（Bring Your Own Device：私物デバイス持ち込み）が広がった環境では、デバイスのコンプライアンス状態を動的に評価するポリシーエンジンが不可欠になります。

ネットワークマイクロセグメンテーション——横断的な侵害拡大を防ぐ分割設計

マイクロセグメンテーションとは、ネットワークを細かく分割して、セグメント間の通信を厳密に制御する設計手法です。従来のVLANによる大まかな分割ではなく、アプリケーション単位・ワークロード単位でファイアウォールポリシーを適用します。

攻撃者が一つのセグメントに侵入しても横断移動を最小限に抑えられるため、被害の局所化に有効です。クラウド環境ではセキュリティグループ・NSG（ネットワークセキュリティグループ）の精密な設定、オンプレミス環境ではSDN（Software-Defined Networking：ソフトウェア定義ネットワーキング）やNGFW（次世代ファイアウォール）の活用が一般的なアプローチです。

アプリケーション・ワークロード保護——APIやクラウドサービスへの不正アクセス防止

SaaSアプリケーションや内製Webアプリ・APIエンドポイントに対し、アクセス元のIDとデバイス状態を検証してからセッションを確立する仕組みが必要です。ZTNA（Zero Trust Network Access：ゼロトラストネットワークアクセス）は、従来のVPNに代わるアクセス方式として注目されており、必要なアプリケーションへの最小限のアクセスのみを許可します。

CASBリプレースアプローチ（Cloud Access Security Broker：クラウドアクセスセキュリティブローカー）との組み合わせにより、シャドーITの可視化とSaaS利用のガバナンス強化も実現できます。

データ分類・保護——機密情報の所在把握と暗号化・ポリシー適用

ゼロトラストの最終目的は「データの保護」です。まず自社が保有するデータの所在・分類・機密度を把握し、分類に応じたアクセスポリシーを設定します。DLP（Data Loss Prevention：データ漏洩防止）ツールと連携し、機密データの外部持ち出しや不正コピーを検知・ブロックします。

クラウドストレージ（SharePoint・Google Drive等）に分散したデータにも統一ポリシーを適用できるSaaS型DLPの採用が増えています。データ保護はゼロトラストの5構成要素の中で最も対象範囲が広く、段階的な取り組みが現実的です。

段階的導入の現実——ゼロトラストは一括置換でなくフェーズ移行

ゼロトラストは既存のネットワーク・セキュリティ設計を一夜にして置き換えるものではありません。CISAの「Zero Trust Maturity Model」は、Traditional（従来型）→Initial（初期段階）→Advanced（高度段階）→Optimal（最適段階）という成熟度モデルを示しており、各組織が自社のリスクレベルと投資余力に応じて段階的に成熟度を高めていく設計になっています。

CISA Zero Trust Maturity Modelが示す4段階——成熟度に応じた漸進的移行

各成熟度段階のポイントは以下の通りです。

優先着手領域の選び方——テレワーク環境・クラウド移行済み企業が先行すべき順序

多くの企業にとって最も費用対効果が高い出発点は「ID管理の強化」です。MFAの全社展開・クラウドIDプロバイダーへの統合は比較的低コストで実施でき、ゼロトラストの基礎となるID検証の仕組みを迅速に整備できます。

次いで優先度が高い領域はデバイス管理とZTNAです。テレワーク環境が定着している企業では、VPN依存からZTNAへの移行により接続セキュリティを高めながら、エンドユーザーの利便性も維持できます。マイクロセグメンテーションとデータ保護は既存インフラへの影響が大きいため、ID・デバイス・ZTNAが安定してから着手するのが現実的な順序です。

外注 vs 内製——ゼロトラスト導入を委託すべき判断基準

ゼロトラストの導入を内製で進めるか外注するかは、組織のセキュリティ専門人材の有無・既存インフラの複雑度・投資予算によって判断が異なります。内製と外注それぞれに固有のトレードオフがあるため、冷静な比較が必要です。

内製に必要なスキル・体制——IAM/NW/エンドポイント・クラウドの専門知識と工数

ゼロトラストを内製で設計・実装するには、複数の専門領域にわたるスキルが必要です。代表的なスキル要件は以下の通りです。

• IAM設計・運用：Microsoft Entra ID・Okta等のIDプロバイダー設定・MFA・条件付きアクセスポリシー設計
• ネットワーク設計：マイクロセグメンテーション・SDN・NGFW・ZTNAソリューションの設計・構築
• エンドポイント管理：MDM・EDRの展開・ポリシー管理・デバイスコンプライアンス評価
• クラウドセキュリティ：AWS/Azure/GCPのセキュリティグループ・CASB・DLP設定
• ログ分析・SIEM運用：全構成要素のログ収集・相関分析・異常検知ルール設定

これらを内製で担うには、セキュリティエンジニアを複数名体制で確保する必要があります。採用・育成には相当のリードタイムが見込まれるため、即時対応が求められる案件では現実的でない場合があります。

外注が有効な3つのケース——専門リソース不足・移行速度優先・複数製品統合

以下のいずれかに該当する場合、外注によるリスク低減の効果が期待できます。

ケース1：セキュリティ専門人材が不足している。社内に複数の専門領域をカバーできるエンジニアがいない場合、専門ベンダーへの委託が現実的な選択肢となります。外注先は複数のプロジェクト実績を通じて培った実装ノウハウを持っており、設計ミスによる再工事リスクを低減できます。

ケース2：移行期間を短縮したい。採用・育成に時間をかけず、一定期間内にゼロトラストの基礎を整備したい場合も外注が有効です。特にコンプライアンス要件や取引先からのセキュリティ要求に期限がある場合には、専門ベンダーの既存フレームワークを活用することで期間短縮が期待できます。

ケース3：複数ベンダー製品の統合設計が必要。IDプロバイダー・EDR・SIEM・CASB・ZTNAソリューションなど複数製品を組み合わせる際、製品間の連携設計には専門的な知識が不可欠です。元請（プライムベンダー）として全体統括できるパートナーを選ぶことで、製品間の仕様差による設計の抜け漏れを防げます。

ゼロトラスト導入支援の外注費用相場（市場参考値）

以下の費用はあくまで市場参考値であり、一次資料に基づく確定的な数値ではありません。実際の費用はプロジェクト規模・既存インフラの複雑度・採用製品・外注範囲によって大きく異なります。導入を検討する際は、複数のベンダーに見積もりを依頼して比較することを推奨します。

費用に影響する主要因——規模・フェーズ・製品選定・既存インフラの複雑度

外注費用に影響する主な要因は以下の通りです。

• 対象ユーザー・デバイス規模：ID管理やデバイス制御の対象数が増えるほど、ライセンス費・設定工数が増大します
• 既存インフラの複雑度：オンプレミスとクラウドが混在した環境、レガシーシステムとの統合が必要な場合は設計・実装工数が増加します
• 採用製品・ソリューション：ZTNAソリューション・IAMプラットフォーム・EDRなどの製品ライセンス費は委託費とは別途発生します
• 外注範囲：アセスメントのみ・設計まで・実装込み・運用保守まで含むかで費用レンジが変わります

フェーズ別の費用感——アセスメント・設計・実装・運用の各工程

外注を検討する際は、工程ごとの費用感を把握しておくと見積もり比較の判断軸になります（以下は市場参考値・一次資料ではありません）。

アセスメントから始めて段階的に委託範囲を広げるアプローチは、初期投資を抑えながら導入ロードマップを実態に合わせて策定できるメリットがあります。一括発注よりも各フェーズの成果物を確認しながら進める形が、品質管理の面で有効です。

委託先の選び方——技術・実績・提案品質で見極める3軸

ゼロトラスト導入支援の委託先を選定する際は、「技術的信頼性」「提案品質」「運用継続性」の3軸で評価することを推奨します。価格だけで選定すると、実装後の運用フェーズで追加費用が発生したり、製品間の連携不備が生じたりするリスクがあります。

技術的信頼性——対応製品群・ベンダー資格・過去構築実績

提案候補先が保有するベンダー資格と実装実績を確認します。Microsoft・Okta・Zscaler・Palo Alto Networks・CrowdStrikeなど主要ゼロトラスト製品のパートナー認定や技術資格は、一定の実装品質を担保する指標になります。

加えて、同程度の規模・業種・インフラ環境での構築実績を持つかどうかが重要です。「実績があります」という回答だけでなく、どのフェーズをどの製品で構築したか・どのような課題があったかを具体的に説明できるかを確認してください。

提案品質——現状アセスメントの深さ・ロードマップ策定能力

信頼できる委託先は、初回提案段階で自社環境を丁寧にヒアリングし、課題ベースのロードマップを提示します。「すべての構成要素を一度に実装しましょう」という提案は現実的でなく、段階的移行のロードマップを示せるかが提案品質の試金石です。

また、特定ベンダー製品への誘導ではなく、自社の既存資産（Active Directory・クラウドプラットフォーム・既設のファイアウォール等）を活用する方向性を提案できるかも確認します。既存資産を無視した全面入れ替え提案は、必要以上にコストが膨らむ場合があります。

運用継続性——導入後の運用支援・サポート体制・エスカレーション経路

ゼロトラストは一度構築して終わりではなく、継続的なポリシー更新・ログ分析・脅威への対応が必要です。導入後の運用を誰が担うか、トラブル発生時のエスカレーション経路がどう整備されているかを契約前に確認します。

元請（プライムベンダー）として全工程を統括できるか・複数のサブコントラクターを活用する場合の品質管理はどう担保されるかも重要な確認事項です。運用フェーズを含めた長期的なパートナーシップを想定して委託先を選定することが、プロジェクト成功の前提条件となります。

まとめ——ゼロトラスト外注判断の3つの軸

本稿では、ゼロトラストの設計思想・5つの構成要素・段階的導入フェーズ・外注判断の基準・費用相場・委託先の選び方を整理しました。要点を3つに集約すると次の通りです。

第一に、ゼロトラストは「境界をなくす」設計思想であり、NIST SP 800-207が定義する7テネットを軸にID・デバイス・ネットワーク・アプリ・データの5領域を段階的に強化していくアプローチが現実的です。一括置換ではなく、CISA成熟度モデルを参照した段階的移行計画が成功の鍵となります。

第二に、外注が有効なのは「専門人材不足・移行期間短縮・複数製品統合」の3ケースです。特に複数ベンダー製品の統合設計が必要な場合、元請（プライムベンダー）として全体統括できるパートナー選定が品質確保の前提条件となります。

第三に、委託先は「技術的信頼性・提案品質・運用継続性」の3軸で評価します。価格よりもアセスメントの深さと段階的ロードマップの提示能力を重視し、運用フェーズを含めた長期パートナーシップを想定した選定が推奨されます。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　出典：NIST（米国国立標準技術研究所）「SP 800-207 Zero Trust Architecture」（2020年8月）

Tweet