だから「SASE」と「ゼロトラスト」を混同してはいけない――企業が陥る“幻想”の正体：バーチャル情シス、須藤あどみん氏が解説

SASEを導入したのにゼロトラストが進まない――。その現状を理解するには、まずはSASE導入企業が陥りやすい「幻想」を解き明かす必要がある。現実的にゼロトラストを進めるために、混同してはいけないポイントとは。バーチャル情シス、須藤あどみん氏が解説。

[山下竜大, 編集：遠藤文康，＠IT]

　「SASE」（Secure Access Service Edge）を導入すれば「ゼロトラスト」を実現できると期待し、SASEの導入を検討、あるいはすでに導入した企業は多いのではないだろうか。だが、導入したものの「思ったような効果が得られない」「運用がうまく回らない」と感じているとしても、不思議なことではない。

　「＠IT NETWORK Live 2026 春」で講演したクラウドネイティブのバーチャル情シス、須藤あどみん氏（以下、あどみん氏）は、SASEとゼロトラストは混同されがちだが、その本質は異なると指摘する。

バーチャル情シス、須藤あどみん氏「SASEとゼロトラストの本質は違う」（あどみん氏の講演から引用）

　その違いを理解するためには、幾つかの観点から理解を深める必要がある。あどみん氏は両者が発展してきた経緯を振り返った。かつて企業のネットワークセキュリティは、ファイアウォールによって内部と外部に境界を設け、信頼できる内部ネットワークを外部の脅威から守ることが基本だった。しかし2000年代後半になると、メールやWebを起点に内部へ侵入し、継続的に攻撃するAPT（Advanced Persistent Threat）が顕在化。境界を守るだけでは攻撃を防ぎ切れないという課題が浮上した。

　こうした脅威への対応として、大きく2つの方向性で発展していった。

　一つは、IDS（侵入検知システム）／IPS（侵入防止システム）やWAF（Webアプリケーションファイアウォール）など複数の防御層を設け、侵入を防止、検知する「多層防御」のアプローチだ。このネットワーク側で防御を重ねていく流れが、後のSASEにつながっていった。

　一方で、PCやスマートフォンなどユーザーが利用するエンドポイントやアクセスそのものを起点にセキュリティを考えるアプローチの流れが、ゼロトラストにつながっているものだ。大きく分ければ「ネットワーク側で防御するアプローチ」と「エンドポイント側で防御するアプローチ」に整理される。

ネットワークなのか、エンドポイントなのか（あどみん氏の講演から引用）

　SASEは「SD-WAN（ソフトウェア定義WAN）」「SWG（セキュアWebゲートウェイ）」「CASB（クラウドアクセスセキュリティブローカー）」「FWaaS（サービスとしてのファイアウォール）」「ZTNA（ゼロトラストネットワークアクセス）」などのネットワーク／セキュリティ機能を統合して提供するアーキテクチャだ。「本来はインターネットVPNの置き換えで採用されるケースが多い」（あどみん氏）

　一方、ゼロトラストは「決して信頼せず、常に検証する」という考え方であり、戦略。ITインフラ全体を捉えるセキュリティの概念だ。SASEがゼロトラストの文脈で語られがちなのは、「ベンダーのマーケティング戦略による」一面が大きい。

あらためてゼロトラストの定義を理解してみる

　ゼロトラストのガイドライン「NIST SP（Special Publication）800-207」では、ゼロトラストは、「暗黙な信頼ではなく、継続的な評価（検証）を前提としたリソース保護のためのサイバーセキュリティ規範」であり、「不正アクセスされたネットワークであっても、情報システムのアクセス権限を、最小限の原則に伴い、正確（不確実性を最小）に適用できる考え方」と定義されている。つまりゼロトラストは、戦略でありITインフラの設計思想である。

　ゼロトラストは特定の製品やネットワーク技術を指すものではない。アイデンティティーやクレデンシャル、アクセス管理、エンドポイントなど複数の要素を横断し、継続的な検証を前提としてリソースへのアクセスを制御する考え方だ。こうした原則に基づいてITインフラ全体を設計するのが「ゼロトラストアーキテクチャ（ZTA）」となる。

　なぜいまゼロトラストなのか。従来の企業ネットワークでは、自組織の内部ネットワークを信頼できる「トラステッドゾーン」、インターネットなどの外部ネットワークを「アントラステッドゾーン」と位置付け、その境界にファイアウォールやDMZ（非武装地帯）を設けて守る「境界防御」が基本的な考え方だった。しかし、クラウドの普及によって、従来は内部ネットワークに置かれていたサーバやデータが、その境界の外側にも広がっていった。

　2010年代中ごろ以降、SaaS（Software as a Service）の利用が広がり、業務で利用するアプリケーションやデータは従来のネットワーク境界の外側にも広がっていった。さらに開発・運用環境も「Amazon Web Services」（AWS）や「Microsoft Azure」「Google Cloud」などのIaaS（Infrastructure as a Service）に移行。企業のシステムやデータは、従来のネットワーク境界の内外に分散するようになった。

業務アプリケーションも開発・運用環境もアントラステッドゾーンへ（あどみん氏の講演から引用）

クラウドの登場で業務も開発／運用も、デバイスもアントラステッドゾーンに

　現在、メールやカレンダーなどの業務端末のデータは、「Microsoft 365」や「Google Workspace」などのインターネット側に移り、スマートフォンも直接インターネットにつながっている。デバイスそのものもアントラステッドゾーンに移り、自組織のネットワークの中にトラステッドゾーンはなくなっている。ほとんどのデータがアントラステッドゾーンでやりとりされるのが現代のネットワークの形となっている。

　しかし多くの企業では、クラウド利用が進んだ現在も、オンプレミスのシステムやDMZ、インターネットVPNなど、従来のネットワーク境界を前提とした仕組みが残っている。つまり、業務で利用するシステムやデータがネットワーク境界の外側にも広がる一方、境界の内側を信頼する従来型のネットワーク構成も併存している状態だ。

アントラステッドゾーンを利用する一方で境界防御もある（あどみん氏の講演から引用）

　「オンプレミスがあり、VPNがないと仕事にならない環境では、VPNの処理能力や運用に限界がある。VPN自体が攻撃対象にもなりやすい。そこでVPNから脱却するためにSASEを選択するという一つの流れがある」（あどみん氏）

なぜSASEを導入してもゼロトラストが進まないのか

　特定の製品やソリューションを導入すれば、自動的にセキュリティが強化され、ゼロトラストが実現でき、全てが解決するという考え方は間違えている。もちろん製品は重要だが、それだけでは不十分。セキュリティは、技術だけでなく、人、プロセス、そして組織文化が一体となって機能する。AI文脈も同じだが、個別タスクの解決ではなく、ワークフローの抜本的な最適化が必要になる。

　「例えばインターネットVPNは、特性上“一度接続すれば広範なアクセスを許してしまう”という根本的なリスクがあり、それに対処するためだけの個別最適解がSASE。それ以外の導入理由があるのは承知の上だが、絶対的に全体最適ではないのでSASEを導入してもゼロトラストとは言えない」（あどみん氏）

VPNをやめるためにSASEを選択するという個別最適（あどみん氏の講演から引用）

　もう一つ重要なのは、クラウドやゼロトラスト、SASEなどの新しい製品が登場しても、古くから学んできたネットワークの考え方や技術が否定されるものではないということだ。ネットワークに長年携わってきた技術者は、「境界型防御はもう古い」「これからは全てゼロトラストだ」といった言説に、複雑な気持ちを抱いているかもしれない。しかし、これまで培ってきた知識や経験、既存インフラが、すぐに無価値になることはない。

製品導入で全てが解決するという考え方が間違っている（あどみん氏の講演から引用）

　「ゼロトラストは、既存の資産を生かしつつ、段階的に進化させていくアプローチであり、ゼロトラストの文脈で、境界型ネットワークセキュリティを否定することは一切ない。これまでのネットワーク運用で培われたノウハウこそが、ゼロトラストを現実的に実装する上で非常に重要」（あどみん氏）

---

　こうしたゼロトラストとSASEの考え方を整理した上で、現実的にゼロトラストに取り組むにはどうすればいいのか。あどみん氏の解説を基に、後編で具体的に取り上げる。