はじめに
ゼロトラストは「通す／通さない」だけでは成立しません。正しい本人と安全な端末を確認できても、どこまで通すかが曖昧なら被害は拡大します。本稿では、通信経路を独立したダイヤルとして整理し、次の設計へ接続できる状態を作ります。
1. 通信経路が独立ダイヤルである理由
本稿で得られることは次の通りです。
- 通信経路がゼロトラストの要である理由
- VPNとZTNAの違いを構造で説明する視点
- 入口検査と最小到達性の設計指針
想定読者は次の通りです。
- VPN中心のリモートアクセス設計に限界を感じている方
- ZTNAやSSEやSWGの位置づけに迷っている方
- ネットワーク設計からセキュリティを再定義したい情シス担当
仮説：通信経路が曖昧だと侵入後の被害が拡大します。根拠：VPNのようにネットワーク単位で通す設計では到達範囲が広く、横断移動の抑止が難しくなります。再検証：本人認証と利用端末が正しくても、不要なシステムへ到達できる環境では被害が大きくなりがちです。示唆・次アクション：通すか否かではなく、どこまで通すかを設計対象として明示します。
2. 通信経路ダイヤルの三要素
通信経路は「条件で通し方を変える」「到達範囲を最小化する」「入口で中身を見て無害化する」の三要素で成り立ちます。
| 要素 | 狙い | 代表例 | 設計の焦点 |
|---|---|---|---|
| リスク判定 | 状況に応じて通し方を変える | 条件付きアクセス、リスクスコア | 常に同じ許可条件にしない |
| 最小到達性 | 必要なものにだけ到達させる | ZTNA、アプリ単位制御 | ネットワークではなくアプリで区切る |
| 入口検査 | 通信とデータを中身で判断する | SWG、SSE、CDR | 誰が送ったかより中身を見る |
リスク判定（状況判定）
目的：「今のこの接続は安全か」を毎回判定し、通すかどうか、どこまで通すか決める
判断例：接続している場所（社内か自宅か国外か）、時間帯（営業時間か深夜か）、端末の状態（暗号化されているか）、ユーザーの過去のパターンからの違い
設計の焦点：一度作ったルールに頼るのではなく「状況が変わればルールも変える」という柔軟さを持つこと
技術用語注釈
- 条件付きAccess、Conditional Access：接続元、デバイス、時間、ユーザーの行動パターンなどの要件に基づいてアクセスを判定し、設定を動的に変更できる。クラウドIDPやSIEMと連携することで、接続状況に基づいて機械的に判定・制御する
- ZTNA（Zero Trust Network Access）：接続元を信頼せず、認証を完了した接続だけをプロキシ経由で許可する。接続ごとに最小限の到達範囲を決め、必要なものだけにつなぎ、横断移動を防ぐ
- SWG・SSE（Secure Web Gateway/Secure Service Edge）：インターネット接続を経由するデータを検査し、コンテンツを制御し、ダウンロードを事前に検査できる
- CDR（Content Disarm and Reconstruction）：ダウンロードされたファイルを検査し、悪意のあるコードやマクロを取り除き、安全な形で復元する
必要最小限の到達（最小到達性）
目的：ユーザーが本当に必要なシステムだけにアクセスさせ、その他は見えない・つながらないようにする
設計の焦点：社内ネットワーク全体を見せるのではなく、その人の仕事に必要なアプリケーション「だけ」に限定する
構造比較は次の通りです。
| 項目 | VPN | ZTNA |
|---|---|---|
| 思想 | ネットワーク単位 | アプリ単位 |
| 到達範囲 | 広い | 必要最小限 |
| 横断移動 | 容易 | 困難 |
入口検査・無害化
目的：通信やデータを中身で判断する
代表例：URLレピュテーション、サンドボックス、CDR、SWG
設計の焦点：誰が送ったかより何が通るかを重視する
3. 誤解されやすいポイントと構造比較
よくある誤解は「FWがあるから通信経路は十分」という考え方です。制御対象の比較は次の通りです。
| 制御対象 | FW | 通信経路 |
|---|---|---|
| IPとポート | ○ | ○ |
| ユーザー属性 | × | ○ |
| 端末状態 | × | ○ |
| アプリ単位 | × | ○ |
| ファイル中身 | × | ○ |
見落としやすい論点は次の通りです。
- 条件付きアクセスの例外が恒常化する
- アプリ単位の分離ができず到達範囲が広い
- 入口検査を省略して中身のリスクを見逃す
4. AND条件の整理と次のダイヤル
通信経路は本人認証と利用端末のAND条件で成立します。どれか一つでも崩れると鍵は開きません。
| 本人認証 | 利用端末 | 通信経路 | 結果 |
|---|---|---|---|
| 正 | 正 | 正 | 通す |
| 正 | 危険 | 正 | 通さない |
| 不正 | 正 | 正 | 通さない |
| 正 | 正 | 不正 | 通さない |
チェックポイントは次の通りです。
- VPN前提の設計から脱却できている
- アプリ単位で到達範囲を制御できている
- 条件付きアクセスを設計できている
- 通信とファイルの中身を検査している
次のダイヤルは権限管理です。入った後に何をさせるかを設計します。
おわりに
通信経路は、正しい本人と端末を実際の到達範囲に接続するための要です。通すか否かではなくどこまで通すかを設計できると、次の権限制御へ滑らかに進めます。