ゼロトラストネットワークアクセス（ZTNA）とは？VPNとの違いと「信頼しない」セキュリティの仕組み

概要

ゼロトラストってどんな考え方？

「城の中にいる人は全員、信頼できる」——昔のネットワークセキュリティは、こんな考え方をしていました。

会社のネットワーク（社内LAN）に一度つながってしまえば、中のパソコン・サーバー・ファイルに自由にアクセスできる仕組みです。城の外（インターネット）から守るための壁（ファイアウォール）さえしっかりしていれば、中は安全——そう思われていました。

でも、時代が変わりました。

• 社員がテレワークで外から仕事をするようになった
• データがクラウド（会社の外）に置かれるようになった
• スマートフォンや個人のパソコンから社内システムにアクセスする人が増えた

こうなると、「城の壁」を作っても意味がありません。そもそも城の中と外の境目がなくなってきたからです。

そこで生まれたのが**ゼロトラスト（Zero Trust）**という考え方です。

「場所を問わず、すべてのアクセスを信頼しない。必ず確認する。」

**ZTNA（Zero Trust Network Access）**は、このゼロトラストの考え方をネットワークアクセスに適用したしくみです。

ZTNAの3つのポイント

深掘り

VPNとの違い

ゼロトラスト以前の代表的なリモートアクセス手段は**VPN（仮想プライベートネットワーク）**でした。

VPNは「トンネル」を会社のネットワークまで掘り、その中に入ることで社内LANにいるのと同じ状態を作ります。

VPNのイメージ:
インターネット ───[トンネル]─── 社内ネットワーク（全体にアクセス可能）

しかしこの方式には課題があります:

1. 過剰なアクセス権 — VPNに接続するだけで社内ネットワーク全体が見える
2. マルウェアの横展開リスク — 1台が感染すると、社内全体に広がりやすい
3. スケール問題 — 多数のリモートワーカーが集中すると、VPN機器がボトルネックになる

ZTNAは次のように動作します:

ZTNAのイメージ:
ユーザー ──[ID確認]──[デバイス確認]──[ポリシー確認]── 許可されたサービスだけ
                                                       （他は見えない）

ネットワーク全体に入るのではなく、許可されたアプリケーション・サービスだけに接続します。

ZTNAの技術的な仕組み

1. アイデンティティ検証

ユーザーは**MFA（多要素認証）とSSO（シングルサインオン）**を使って認証されます。パスワードだけでなく、スマートフォンの認証アプリや生体認証も組み合わせます。

2. デバイスの健全性確認（デバイスポスチャー）

接続するデバイスが次の条件を満たすか確認します:

• OSのバージョンが最新か
• セキュリティパッチが適用されているか
• ウイルス対策ソフトが有効か
• 会社が管理するデバイスか

3. 最小権限の原則（Least Privilege）

認証済みのユーザーでも、業務に必要なサービスだけアクセスを許可します。経理担当者は人事システムにアクセスできない、などの制御が細かく設定できます。

4. マイクロセグメンテーション

社内ネットワークを細かなセグメントに分割し、セグメント間の通信もポリシーで制御します。攻撃者が一部に侵入しても、横移動（ラテラルムーブメント）を防ぎます。

主なZTNAソリューション

まとめ

「信頼しない、常に確認する」——このシンプルな原則が、現代のセキュリティを支えています。VPNと合わせて、VPNの記事も参考にしてください。