ゼロトラスト・SASE

ZTNA（Zero Trust Network Access）ぜっとてぃーえぬえー

ゼロトラストVPNアイデンティティマイクロセグメンテーションSASEアクセス制御

ZTNAについて教えて

簡単に言うとこんな感じ！

「社内ネットワークにつながったら何でもOK」じゃなくて、「誰が・どのデバイスで・何にアクセスするか」を毎回ちゃんと確認してから、必要な部分だけ開ける鍵の仕組みだよ。VPNの「一度入ったら社内全部見放題」を卒業した、現代版のセキュリティアクセス方式なんだ！

ZTNAとは

ZTNA（Zero Trust Network Access） とは、「何も信頼しない（Zero Trust）」という考え方をネットワークアクセスに適用したセキュリティの仕組みです。従来のVPNが「社内ネットワークに接続できた人・端末は信頼する」という前提だったのに対し、ZTNAは接続のたびに「誰が・どの端末で・何の目的で・今どこから」アクセスしようとしているかを検証し、許可されたリソースだけを最小限に開放します。

テレワークの普及やクラウドサービスの多様化によって、「社内＝安全、社外＝危険」という境界線が意味をなさなくなりました。ZTNAはこの変化に対応するため、ネットワークの場所ではなくアイデンティティとコンテキスト（状況）を信頼の根拠とします。仮に社内からのアクセスであっても、毎回ポリシーに照らして検証するのが大きな特徴です。

ZTNAは単体の製品というより、セキュリティ設計の考え方（ゼロトラスト）を実装するための主要技術のひとつとして位置づけられています。クラウドセキュリティのフレームワーク「SASE（Secure Access Service Edge）」の中核コンポーネントでもあり、多くのベンダーがZTNAをクラウド型サービスとして提供しています。

ZTNAの仕組みと構成要素

ZTNAは主に以下の3つの要素が連携して動作します。

構成要素	役割	具体例
IDプロバイダー（IdP）	ユーザーの本人確認・認証	Azure AD、Okta、Google Workspace
ポリシーエンジン	アクセス可否を判定するルール管理	「営業部員は営業システムのみ許可」など
コネクター／プロキシ	アプリケーションとユーザーを安全につなぐ中継役	Cloudflare Access、Zscaler ZPA など

アクセスフローのイメージ

ユーザー（社外・社内問わず）
  ↓ ①アクセス要求
ZTNAサービス（クラウド）
  ↓ ②本人確認（MFA含む）＋端末状態チェック
ポリシーエンジン
  ↓ ③条件を満たしたリソースだけを開放
特定のアプリ・システムのみ
  ※ネットワーク全体へのアクセスは与えない

覚え方：「玄関ではなく部屋のカギ」

VPNは「玄関ドアのカギ」で、一度開けたら家中どこでも歩き回れます。ZTNAは「部屋ごとのカギ」で、必要な部屋だけ、必要な人にだけ開けます。攻撃者が侵入しても動き回れる範囲（横移動）を最小限に抑えられるのが強みです。

ZTNAの2つのアーキテクチャモデル

モデル	特徴	向いているケース
エンドポイント起点型	ユーザー端末にエージェントをインストール	社員端末の管理が徹底できる企業
サービス起点型	アプリ側にコネクターを置き、エージェント不要	BYODや外部パートナーが多い環境

歴史と背景

2010年 — Forrester Researchのアナリスト John Kindervag が「Zero Trust」モデルを提唱。「信頼は与えるものではなく、検証するものだ」という概念が生まれる
2011〜2014年 — Googleが社内で「BeyondCorp」という独自のゼロトラスト実装を開始。VPNなしで社員がどこからでも安全に業務できる環境を構築
2017年 — Googleが「BeyondCorp」の実装詳細を論文として公開。業界全体がゼロトラストを本格的に研究・採用し始める
2019年 — Gartnerが「ZTNA」という用語を正式に定義。SASEフレームワークの重要コンポーネントとして位置づけ
2020年 — NISTが「Zero Trust Architecture（SP 800-207）」を公開し、標準化が加速
2020〜現在 — コロナ禍によるテレワーク爆発的普及でVPNの限界が露呈。ZTNAへの移行が急速に進む。Cloudflare、Zscaler、Palo Alto Networks など多数のベンダーがZTNAサービスを提供

VPNとの比較・ZTNAが選ばれる理由

従来のVPNとZTNAは「リモートアクセスを安全にする」という目的は同じですが、アプローチが根本的に異なります。

ZTNAがVPNより優れる主なポイント

比較項目	従来のVPN	ZTNA
アクセス範囲	ネットワーク全体	許可されたアプリのみ
信頼の根拠	ネットワークの場所	ID・端末・コンテキスト
横移動リスク	高い（侵入後に動き回れる）	低い（見えるリソースが限定）
クラウド対応	弱い（バックホール問題）	強い（クラウドネイティブ）
管理の複雑さ	VPN機器の保守が必要	SaaS型なら機器不要
ユーザー体験	遅くなりがち	最適経路を自動選択

規格・RFC番号	内容
NIST SP 800-207	Zero Trust Architectureの定義・設計原則を定めた米国国立標準技術研究所の標準文書
RFC 8996	TLS 1.0/1.1の廃止勧告。ZTNAが前提とするTLS 1.2以上の通信の根拠
RFC 8446	TLS 1.3の仕様。ZTNAで使われる暗号化通信の最新標準