2
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@k2_naka

ネットワーク分離における端末内論理分離の系譜

2
Last updated at Posted at 2026-08-08

筆者

役割 担当
課題提示 K⁺oji Na⁺kamura
原案作成 Gemini 3.1 pro
全面改訂 Cloude Fable 5
つぶやき K⁺oji Na⁺kamura

はじめに

自治体や金融機関を中心に定着した「ネットワーク分離（環境分離）」。従来主流だったサーバーVDI方式（画面転送型）は、サーバー・ライセンス費用の高さやネットワーク帯域の逼迫が課題とされてきました。その代替として存在感を増しているのが、手元のファット端末のリソースを使って環境を切り分ける端末内（クライアント型）論理分離です。

本記事では代表的な5つのソリューションを取り上げます。

前史 ― 三層の対策とその見直し

国内でこの市場が動いた直接の契機は、2015年5月の日本年金機構の情報漏えい事案です。これを受けて総務省は「自治体情報システム強靭化向上モデル」（いわゆる三層の対策）を示し、各自治体は2017年7月までにマイナンバー利用事務系・LGWAN接続系・インターネット接続系の分離を実施しました。当初はVDIやSBCによる分離が主流でしたが、コストと利便性の問題が顕在化。2020年のガイドライン見直しでβモデル・β'モデルが示され、テレワーク需要の急増も重なって、より軽量なクライアント型分離が脚光を浴びることになります。

1. ネットワーク分離の主要方式 ― 端末内論理分離の位置付け

ひと口に「ネットワーク分離」と言っても、実現方式は大きく3系統に分かれます。本記事の対象がどこに位置するのかを先に整理しておきます。

（a）物理分離

ネットワークごとに端末そのものを分ける方式です。インターネット接続系とLGWAN接続系で別のPCを使う、いわゆる「2台持ち」がこれにあたります。物理的に別筐体・別配線であるため分離強度は最も高い一方、端末台数と設置スペース、キッティング・資産管理の負荷が環境の数だけ増え、環境間のファイル受け渡しにも媒介手段が必要になります。

（b）サーバー型論理分離（画面転送型）

分離したい環境の「実行」をサーバー側に寄せ、端末には画面だけを転送する方式です。実現手法として、サーバー上にユーザーごとの仮想デスクトップを用意するVDI、サーバー上のセッションやアプリケーションを共同利用するSBC、Webブラウザだけをサーバー側で実行して描画結果を転送する 仮想ブラウザ（リモートブラウザ分離） があります（仮想ブラウザの例が、本記事に登場するRevoWorksの前身SCVXです）。端末側に実データが残らない点は強みですが、サーバー基盤とライセンスの費用が大きく、画面転送のため帯域を常時消費し、操作レスポンスや動画再生に難が出やすいのが弱点です。三層の対策の第一波で広く採用されたのはこの系統でした。

（c）端末内（クライアント型）論理分離 ― 本記事の対象

実行を端末側に残したまま、端末の中に論理的な別環境を作って切り分ける方式です。サーバー基盤が不要または軽量で済み、画面転送を伴わないため操作感に優れます。その代わり、危険なコンテンツを端末上で実行することになるため、「端末内でどう隔離するか」の実現手法が製品の性格を決めます。本記事の5製品は、この内部手法で次のように分類できます。

  • サンドボックス型仮想デスクトップ： MirageWorks iDesk
  • ハードウェア支援Micro-VM： HP Sure Click Enterprise
  • ローカルコンテナ： RevoWorks Browser / Desktop
  • OS内ポリシー制御（仮想化なし）： SeP セパレートオプション
  • 非コンテナ型の論理分離環境： SKYSEA Client View ブラウザ環境分離

3方式の比較

観点 （a）物理分離 （b）サーバー型論理分離
（VDI / SBC / 仮想ブラウザ）		 （c）端末内論理分離
実行場所 環境ごとに別端末 サーバー 端末内の分離環境
必要基盤 環境数分の端末・配線 仮想化サーバー基盤＋ライセンス 管理サーバー程度（製品による）
ネットワーク帯域 実通信のみ 画面転送を常時消費（大） 実通信のみ（小）
端末リソース 環境ごとに専用 小（シンクライアント化も可） 中〜大（仮想デスクトップ型・Micro-VM型は特に）
コスト感 端末台数分の調達・運用費 初期・ランニングとも大 小〜中（ソフトウェアライセンス中心）
利便性 端末の持ち替え、環境間のファイル授受に手間 レスポンス・動画再生に難が出やすい 同一端末内で完結（並行動作の可否は製品による）
分離強度の一般的評価 最高（物理的に別） 高（実行がサーバー側） 実現手法により幅がある

※あくまで一般化した整理であり、個別製品には例外があります。特に（c）は上記の内部手法によって隔離強度・端末負荷が大きく異なるため、次章以降で製品ごとに見ていきます。

2. 主要端末内論理分離ソリューションの概要

① MirageWorks iDesk ― サンドボックス型仮想デスクトップ

  • 分離機能の登場： 2010年前後（iDesk V2.0が2011年8月に韓国でCC認証EAL3を取得）。日本展開は2013年10月
  • 開発元： MirageWorks Inc.（韓国・ソウル。2004年設立、旧社名NoAdから改称）

同社が2007年から研究してきたサンドボックス仮想化技術（※同社公表）を基に、PC内にインターネット閲覧専用の仮想デスクトップ領域を生成し、業務環境（内部網）から隔離するクライアント仮想化型の製品です。利用者は実環境の画面と仮想デスクトップの画面を切り替えて使います。

日本では2013年10月にジェイズ・コミュニケーションが「iDesk」「vDesk」の販売を開始したほか、日立電線ネットワークスも取り扱い、2016年には自治体初導入事例（茨城県美浦村）が公開されています。なお、姉妹製品vDeskは情報漏えい防止（DLP）用途であり、インターネット分離用のiDeskとは役割が異なります。現在、韓国の開発元倒産により国内での新規導入はできません。

② HP Sure Click Enterprise（旧Bromium） ― ハードウェア支援Micro-VM

  • 分離機能の登場： 2012年※（Bromium社最初の製品vSentry）。2017年2月にHPとの提携で「Sure Click」搭載PC発表、2019年9月にHPがBromiumを買収、2020年からSure Click Enterpriseとして国内展開
  • 開発元： HP Inc.（旧Bromium社。2010年、Xen開発者Ian Prattらが米国で創業）

Xenベースのマイクロバイザーが、CPUのハードウェア仮想化支援機能（Intel VT等）を用いて、Webブラウザのタブ1枚・ダウンロードファイル1つを開くたびに使い捨ての 極小仮想マシン（Micro-VM） を生成します。マルウェアが動いてもタブやファイルを閉じた瞬間に環境ごと消滅するため、「検知」に頼らず「隔離」で守る思想を徹底した製品です。通常アプリと分離対象が同じデスクトップに並ぶ、完全シームレスな並行動作が特長です。

③ RevoWorks Browser / Desktop ― 国産ローカルコンテナ

  • 分離機能の登場： RevoWorks構想発表 2019年7月23日、Browser発売 2019年10月16日 、Desktop販売開始 2020年3月27日
  • 開発元： ジェイズ・コミュニケーション株式会社（日本、1995年設立）

同社は2013年からMirageWorks製品の日本代理店を務めた後、2014年からサーバー型のインターネット分離製品SCVX（Linuxサーバー上のDockerコンテナ＋画面転送）を開発し、2016年にSCVX 1.0をリリース。その知見を端末側に持ち込んだのがRevoWorksシリーズです。独自のローカルコンテナ技術で端末内に隔離実行環境を作り、Desktopではコンテナごとに専用VPNを自動生成、ZenmuTech社の秘密分散技術によるデータ無意味化も組み合わせています。ローカルアプリとコンテナ内アプリを同一デスクトップ上で並行操作できます。

④ ハミングヘッズ SeP セパレートオプション ― 仮想化を使わないポリシー切替型

  • 分離機能の登場： 2021年6月8日発表、2021年8月27日リリース
  • 開発元： ハミングヘッズ株式会社（日本、1999年設立）

母体のSeP（Security Platform）は2001年発売の情報漏えい対策ソフトで、2002年10月に自動暗号化機能を追加して以降、操作制御・操作履歴の分野で実績を重ねてきた製品です。ネットワーク分離機能を担う「セパレートオプション」は2021年の登場で、5製品の中ではむしろ新しい部類に属します。

仮想マシンもコンテナも使わず、ポリシーの切り替えによって通信接続先・保存先・使用可能アプリケーションを制御し、論理的なネットワーク分離を実現するのが最大の特徴です。「ポリシーを切り替えると別の端末が起動したような使い勝手」とされ、PC1台で三層分離を、VDIの1/5〜1/10程度のコストで実現すると謳います。2024年2月にはポリシー切替時のスクリプト自動実行機能も追加されました。切替式（排他利用）のため、2つの環境を同一画面に並べる使い方はできません。

⑤ SKYSEA Client View「ブラウザ環境分離」 ― 運用管理基盤への統合

  • 分離機能の登場： Ver.18.2（2023年） で追加されたオプション機能（Ver.18自体の発売は2022年9月26日）
  • 開発元： Ｓｋｙ株式会社（日本）

クライアント運用管理ソフトSKYSEA Client Viewのオプションとして、PC内にローカル環境から論理的に分離した環境を構築し、インターネット閲覧をその環境に限定します。アクセス先URLを自動判別し、社内WebはローカルのWebブラウザ、外部サイトは分離環境のブラウザへ自動的に切り替える点が運用上の要です。ダウンロードファイルの無害化にも対応し、Ver.19（2023年9月）で圧縮ファイルの無害化、Ver.21.2（2026年3月）でWindows Server対応とFast Sanitizer連携が追加されています。

なお、Ｓｋｙ社は「コンテナ型の仮想化技術を用いた環境ではありません」と明記しており、方式としてはコンテナ型と区別されます。既存のSKYSEA基盤にライセンスと設定を追加するだけで導入できる手軽さが持ち味です。

3. 製品間比較表

製品 開発元 / 国 分離機能の提供開始 分離の実現方式 通信経路の分離・制御 2環境の並行動作 導入・運用上の要点
MirageWorks iDesk MirageWorks
(韓国)		 2010年前後
（日本2013年〜）		 サンドボックス型の仮想デスクトップ 業務領域ではインターネット・外部媒体を遮断。内部網から分離された仮想デスクトップのみインターネットへ接続 可（画面切替） 仮想領域の確保に相応の端末リソースが必要。現在入手不可
HP Sure Click Enterprise HP（旧Bromium）
(米国)		 2012年※
（国内展開2020年〜）		 Xenベースのマイクロバイザーによるタブ・ファイル単位のMicro-VM Micro-VM単位でネットワークアクセスを制御。信頼できないタスクからイントラネット等への接続を遮断 可（完全シームレス） BIOS/UEFIでCPU仮想化支援機能の有効化が必須
RevoWorks Browser / Desktop ジェイズ・コミュニケーション
(日本)		 2019〜2020年 独自ローカルコンテナ コンテナ環境のみがインターネットと接続（Browser）。コンテナごとに専用VPNを自動生成（Desktop） 可（シームレス） VDI等のサーバーインフラ不要、エージェント導入で完結
SeP セパレートオプション ハミングヘッズ
(日本)		 2021年 仮想化を用いないポリシー切替（OS内制御） ポリシーごとに通信接続先・保存先・使用可能アプリを制御。SeP認証で未導入端末からの接続を遮断 不可（排他・切替式） 軽量。母体SePの操作制御・暗号化・履歴機能と一体運用
SKYSEA Client View
ブラウザ環境分離		 Ｓｋｙ
(日本)		 2023年
（Ver.18.2）		 非コンテナ型の論理分離環境 分離ブラウザの接続先をプロキシサーバー・ネットワーク範囲で指定。URL自動判別でローカル／分離環境を切替 可（シームレス） 既存SKYSEA基盤にオプション追加のみで導入可能

4. 系譜の考察と選定ポイント

登場順に並べ直すと、この分野の系譜は次のように読めます。

（1）韓国発サンドボックスから国産コンテナへの継承線。 MirageWorksの日本代理店だったジェイズ・コミュニケーションが、サーバー型SCVXを経て自社ローカルコンテナのRevoWorksに到達した流れは、この市場の技術継承をよく示しています。

（2）米国発ハードウェア仮想化路線。 Bromium→HPのMicro-VMは、分離の「粒度」をデスクトップ単位からタブ・ファイル単位へと一気に細かくし、隔離強度とシームレスな利便性を両立させました。

（3）後発の非仮想化・統合路線。 2021年のSeP セパレートオプションと2023年のSKYSEAブラウザ環境分離は、いずれも仮想マシン／コンテナに依存しない軽量な方式で、三層の対策の見直し（β・β'モデル）とテレワーク需要という追い風の中で登場しました。DLPの老舗と運用管理の最大手が、それぞれ既存製品の延長線上で分離市場に参入した構図です。

選定にあたっては、タブ・ファイル単位の隔離強度を最重視するならMicro-VM型（Sure Click Enterprise）、業務アプリごと隔離してテレワークまで賄うならコンテナ型（RevoWorks Desktop）、既存の運用管理資産を活かした導入の手軽さならSKYSEA、仮想化を避けた低コストの三層分離ならSeP、という整理になります。あわせて、端末スペック、BIOS設定の要否、既存セキュリティソフトとの競合、OSアップデート追従の運用負荷を確認事項として挙げておきます。

5. もう一人の筆者のつぶやき

  • MirageWorks iDeskは画期的な製品だった。機能もよくできていた。ただWindows10対応で躓いた
  • RevoWorksは、発表された頃使ってみたが、開発会社がWindowsでのカーネルドライバー経験がなかったのかいまいちだった。また MirageWorks iDeskのOpenVPNを参考にしたのか、WireGuardを使うのだが統合がうまくできていなかった。今は改善されているかも
  • SKYSEAの分離ブラウザは、発表された頃使ってみたが、ディバイス制御のカーネルドライバーを開発している会社だけあって、RevoWorksよりはよくできていた。ただネットワークはProxy分離なのをどう判断するか
  • SePは触ったことさえないが、Windows周りのセキュリティ製品開発の老舗なので品質は高いだろう
  • BromiumはZenの開発者が起こした会社として期待したが、HPによる買収で興味がなくなった。HPのPCでは使うにはよいのではないか

参照資料（2026年8月8日閲覧）

2
2
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
2
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?