本記事は 夏休みクラウド自由研究2026 8/1付の記事です。 |
殆どの企業でゼロトラストを目指されていますが、「これを買えばゼロトラストが完成する」という単一の製品やソリューションは残念ながら存在しません。ただし、より完全なゼロトラストを実現するための2つのソリューションの統合戦略についてご紹介いたします。
ゼロトラストの定義と基本的な考え方
そもそも”ゼロトラスト”とは、フォレスター社が2009年にゼロトラストの概念を開発し、その名称を造語したものです。フォレスターは「ゼロトラストは、デフォルトでアプリケーションとデータへのアクセスを否定する情報セキュリティモデルです。脅威防止は、ユーザーとその関連デバイスに対する継続的で文脈的なリスクベースの検証に基づく政策を利用して、ネットワークとワークロードへのアクセスのみを許可することで達成されます。ゼロトラストは、次の3つの中核原則を提唱しています。すべてのエンティティはデフォルトで信頼されず、最小権限アクセスが強制され、包括的なセキュリティ監視が実装されます。」
一方、ガートナー社は「ゼロトラストとは、暗黙の信頼を、アイデンティティとコンテキストに基づいて継続的に評価される明示的なリスクと信頼レベルに置き換えるセキュリティ・パラダイム」と定義しています。重要な点として、ゼロトラストは単なる「テクノロジ」や「プロダクト」ではなく、組織が採用すべき一連のセキュリティ原則と考え方の再編成を意味しています。
ゼロトラスト採用が注目される背景
従来の境界型セキュリティ・モデル（境界型防御）は、社内ネットワークと外部を明確に分け、ファイアウォールで外部攻撃を防ぎ、内部なら「信頼できる」という暗黙的な仮定の下で機能していました。しかし、リモートワークやクラウドサービス、モバイルデバイスの普及に伴い、この静的なモデルは限界に達しました。
また、ランサムウェア攻撃などのサイバー脅威の深刻化が、ゼロトラスト導入の急速な進展を促しています。2026年に、大企業の10%は成熟した測定可能なゼロトラスト・プログラムを導入するようになると予測されています（2025年は1%未満とされています）
ガートナーによる2つの統合戦略の位置づけ
ガートナーは「ゼロトラスト導入に向けた戦略的ロードマップ（Strategic Roadmap for Zero Trust Implementation,2025）」において、完全なゼロトラストアーキテクチャを実現する2つの統合戦略を明確に特定しています。
それがマイクロセグメンテーション（Microsegmentation）と、SASE（Secure Access Service Edge、サッシー）です。これら2つの戦略を組み合わせることで、初めて完全なゼロトラスト環境が実現されると位置づけています。
マイクロセグメンテーションの役割：「内部防御」
マイクロセグメンテーションは、ゼロトラスト実装における内部セキュリティの基盤として位置づけられています。ガートナーは2025年の市場ガイドで、マイクロセグメンテーションを「ゼロトラストネットワークセグメンテーション」としても定義し、組織内のネットワークを細粒度のセキュリティゾーンに分割するアプローチとして強調しています。
マイクロセグメンテーションの主要な機能
マイクロセグメンテーションは、攻撃者が内部に侵入した後の「横方向の移動（ラテラルムーブメント）」を防ぎ、被害を最小限に抑えることに注力します。従来のネットワークセキュリティモデルでは、外部の侵入を防ぐことに重点が置かれていましたが、マイクロセグメンテーションは「侵入は既に起きている」という想定のもとで、ネットワーク内での被害拡大を防ぎます。
ガートナーのマーケットガイドによれば、マイクロセグメンテーションの4つの主要な実装方式が存在します。
- ネットワークオーバーレイモデルは、インフラプロバイダーが提供する既存のネットワークコントロールを利用し、仮想ネットワークをカプセル化して実装します。
- ホストベースモデルは、エンドポイント上のソフトウェアエージェントを使用してホストの出入りするトラフィックを監視します。
- クラウドネイティブモデルは、IaaSベンダーが提供する組み込みのアイデンティティベースセグメンテーション機能を活用します。
- APIベースモデルは、クラウドサービスプロバイダーとのAPI統合と、データセンター内のセンサーを組み合わせて実装されます。
採用トレンドと市場予測
ガートナーは、2027年までにゼロトラスト達成を目指す企業の25%が、複数の異なるマイクロセグメンテーション展開方式を採用するようになると予測しています。これは2025年の5%未満から大幅な増加です。また、96%のIT・セキュリティリーダーがマイクロセグメンテーションをサイバー防御にとって非常に重要または極めて重要と考えており、グローバルマイクロセグメンテーション市場は2034年までに411億ドル（約6.7兆円）に達すると予測されています。
マイクロセグメンテーションの4つの必須要素
ガートナーが強調する重要なエレメントには、細粒度ゾーニングによるゼロトラスト実現、南北（North-South）トラフィックと東西（East-West）トラフィックの可視化による完全な通信フロー把握、ラテラルムーブメントの防止による被害最小化、ハイブリッド環境での柔軟性確保が含まれます。
SASE（Secure Access Service Edge）の役割：「外部アクセス制御」
一方、SASE は外部からのアクセスを厳密に制御し、認証されたユーザーとデバイスだけが組織リソースにアクセスできるようにすることに特化しています。ガートナーによって提唱されたこのアーキテクチャは、ネットワーク接続とセキュリティ機能を一つのクラウドプラットフォームに統合します。
SASE の主要コンポーネント
SASEは、ネットワークと複数のセキュリティサービスを統合したものです。
- Zero Trust Network Access（ZTNA）は、ユーザーとデバイスが認証・認可されるまで一切のアクセスを許可しません。
- Secure Web Gateway（SWG）は、Webトラフィックをフィルタリングし、危険なコンテンツをブロックします。
- Cloud Access Security Broker（CASB）は、クラウドサービスやSaaSアプリケーションへのアクセスを制御します。
- Next-Generation Firewall（NGFW）またはFirewall-as-a-Service（FWaaS）は、トラフィックをより深く検査します。
- Software-Defined WAN（SD-WAN）またはWAN-as-a-Service（WANaaS）は、複数拠点をセキュアに接続します。
上記以外にも、Data Loss Prevention（DLP）、Remote Browser Isolation (RBI) 、Enterprise Browser、最近では AIセキュリティ（Security for AI）をカバーしているものが殆どです。また、SD-WANがないものは、SASEではなく、SSE（Security Service Edge）と言います。
SASEの重要な制限
ただし、ここで重要な指摘があります。SASEだけでは完全なゼロトラスト実装は不十分です。SASEは認証されたユーザーやデバイスが「正当であること」を確認しますが、一度内部に入ったアクセスについては、それが正当であると仮定してしまう傾向があります。つまり、正当な認証情報を持つアカウントが侵害された場合、SASE はそれを検出し、停止する機構を持っていません。
さらに、SASEは、RDP、RPC、SMBなどの管理プロトコルの可視性が限定的であり、特にランサムウェア攻撃で使用されるこれらのプロトコルの”悪用”を十分に検出できない可能性があります。
マイクロセグメンテーションとSASEの相補的関係
統合実装の必要性
完全なゼロトラストアーキテクチャを実現するには、SASEとマイクロセグメンテーションを組み合わせることが必須です。SASEは「誰が外部から内部に進入するか」を制御し、マイクロセグメンテーションは「進入したユーザーが内部で何ができるか」を制限するという、まったく異なる役割を果たします。
具体的には、SASEは外部境界での全トラフィック監視と制御を提供し、ユーザーデバイス認証、セキュアWebゲートウェイ（SWG）、クラウドアプリケーションセキュリティ（CASB）を統合的に実装します。一方、マイクロセグメンテーションは、正当な認証情報で侵入した攻撃者による横方向移動（ラテラルムーブメント）を防ぎ、アイデンティティベースの細粒度アクセス制御（最小権限の原則）を徹底します。
相乗効果
この統合により、複数のメリットが生じます。まず、防御の多層化により、SASEで侵入者を遮断し、万が一侵入されてもマイクロセグメンテーションで被害を局所化できます。次に、統一されたポリシー管理が可能になり、SASEで定義されたアイデンティティポリシーがマイクロセグメンテーションの細粒度ゾーニングに反映されます。また、動的なアダプティブアクセスが実現され、SASEでのコンテキスト情報（デバイスポスチャ、位置情報など）がマイクロセグメンテーションのセグメント間アクセス決定に活用されます。
ゼロトラストの5つの柱における位置づけ
ゼロトラストアーキテクチャは、一般的には以下の5つの領域をカバーしています。
- アイデンティティ（Identity）領域ではSASEが中心となり、ユーザーおよびデバイスのアイデンティティの厳密な検証と継続的な認証を実施します。
- デバイス（Devices）領域ではマイクロセグメンテーションが、認証されたデバイスの信頼性継続評価と、デバイスからのアクセス権決定を担当します。
- ネットワーク（Networks）領域はマイクロセグメンテーションが主体となり、東西トラフィックの細粒度制御を実施します。
- アプリケーション（Applications）領域ではSASEのZTNAコンポーネントがアプリケーションレベルでのアクセス制御を、マイクロセグメンテーションがアプリケーション間通信の制御を担当します。
- データ（Data）領域では両者が協調し、SASEがデータアクセスの初期検証を、マイクロセグメンテーションが詳細なアクセス権制御を実施します。
まとめ ～ゼロトラスト実装トレンド～
ガートナーのマーケット分析では、現在のマイクロセグメンテーション市場の浸透率は5～20%にとどまっています。しかし、CISAの最新ガイダンス、複数の業界調査、および技術検証レポートにより、マイクロセグメンテーション（特に自動化、エージェントレス、MFA統合を備えた最新ソリューション）がゼロトラスト実装の必須要素として確立されていることが明らかになっています。
また、マイクロセグメンテーション市場はガートナーのハイプサイクル上では「啓蒙の坂（Slope of Enlightenment）」に位置し、2年以内にメインストリーム採用に到達すると予測されており、低リスク・高リターンの投資機会として位置づけられています。
さらに、マイクロセグメンテーションとSASEの統合は、ガートナーが強調するサイバーセキュリティメッシュアーキテクチャ（CSMA）の構築においても基盤となる要素として機能し、複数のセキュリティツールが統合的に協調する次世代セキュリティアーキテクチャの実現を可能にすると言えます。
（もちろん、ゼロトラストに向けては、マイクロセグメンテーション、SASE以外に、IAM（IDaaS）やEPP/EDR、SIEM/SOARは？CNAPPは？と言うご意見もあると思いますが）
SCSKでは、SASEについては、世界初SASEプラットフォームベンダーである Cato Networks 社の Catoクラウド（正式名称はCato SASE Platform）、マイクロセグメンテーションについては、次世代マイクロセグメンテーション Zero Networks 社をご提供しています。
Catoクラウド、Zero Networks に、ご興味をもたれましたら、ぜひSCSKまでお問い合わせください。
