もう「拠点間VPN」は安全じゃないのか？ 代替手段が浮上するのはなぜか：Zscalerが示した新たなB2B接続

企業や組織間の安全な接続のために従来は「拠点間VPN」が使われてきたが、この手法はリスクをはらんでいる。そうした中でZscalerが打ち出した手法は、従来のネットワーク接続の安全性確保とは考え方が異なるものだ。

[＠IT]

　企業や組織間の安全な接続には、従来「拠点間VPN」が使われてきた。だが、その常識がいま問い直されている。外部の組織を自組織のネットワークに招き入れるこの方式は、パートナーなど外部の組織に広範なアクセス権を与え、看過できないリスクを抱える。

　そうしたリスクが認識される中、Zscalerは2026年6月10日（米国時間）、ネットワークへの接続を前提とせずに、拠点間VPNと同じようにB2B（Business to Business）接続を実現する手法を発表した。従来の方法とは、考え方が根本的に異なるものだ。

「拠点間VPN」はもう安全じゃないのか？　代替する手法とは？

　従来のB2B接続では、この図のような形で拠点間VPNを中心とした構成が取られてきたが、そのリスクが指摘されている。

従来のB2B接続（拠点間VPN）のイメージ（提供：Zscaler）

　企業活動は、パートナーやサプライヤー、ディストリビューター（販売代理店）といった外部組織との連携によって成り立っている。拠点間VPNは、パートナーやサプライヤーが内部リソースにアクセスするための入り口として機能する一方、パートナーがいったんネットワークに入ると広範なアクセス権が与えられることが多く、攻撃対象領域（アタックサーフェス）が広がる。

　これにはゼロトラストの考え方が欠けている。外部ユーザーに対するIDやデバイスの状態（ポスチャー）のチェックがなく、継続的な検証もリスクベースのポリシーも適用されない。自社のセキュリティ水準がパートナー側の対策状況に左右される点も課題だ。

　サプライチェーンにおける脆弱（ぜいじゃく）性が突かれれば、ネットワーク境界はもはや意味がない。この“脆弱なリンク”問題に対し、Zscalerは焦点を「ネットワークアクセス」から「アプリケーションアクセス」へと移している。ユーザーのIDとコンテキスト（文脈）を検証した上で、最小権限の原則に基づき、必要なリソースにのみきめ細かくアクセスを許可するアプローチだ。

　同社は前年、この考え方をB2Bに広げる「ZPA B2B Extranet」を提供済みだが、今回「ZPA B2B Federation」を発表した。これはZscalerのユーザー企業同士の環境向けに、B2B接続を簡素化するものだ。

　ZPA B2B Federationは、パートナーや子会社の外部ゲストユーザー、あるいはM&A&D（合併／買収／売却）を進める組織が、アプリケーションアクセスを共有できるようにする機能だ。ZPAテナント（ZPAの利用単位）同士のフェデレーション（認証連携）を通じて、組織をまたいでシームレスなゼロトラストアプリケーションアクセスを実現する。

　登場するのは、アプリケーションを保有する「ホスト」と、アクセスを必要とするパートナー組織「ゲスト」の2者だ。

ZPAテナント間のフェデレーションによるゼロトラストアプリケーションアクセスの概念図（提供：Zscaler）

　この手法のメリットとしては、パートナーとの接続にゼロトラストを徹底することによるセキュリティ強化だけではなく、配備を高速化することによるビジネスの俊敏性や、VPN機器やファイアウォールの導入・保守費を抑えるコスト削減などが見込まれる。

　専用VPNクライアントが不要になるユーザー体験の改善、IPベースのルールやルーティング／NATテーブルの管理から解放される運用の簡素化という良さもある。

　ネットワークアクセスにおいてはラテラルムーブメント（横方向への侵入拡大）を防ぎ、アプリケーションはインターネットから見えない状態を保つという。