「SASEを入れればゼロトラスト」ではない――“脱VPN”の先で何を目指すべきか：バーチャル情シス、須藤あどみん氏が解説

SASEは脱VPNをはじめとする個別の課題を解決する手段となるが、SASEを導入したからといってゼロトラストが実現するわけではない。「SASE＝ゼロトラスト」という幻想を乗り越え、全体最適へと進むためには何が必要なのか。バーチャル情シス、須藤あどみん氏が解説する。

[山下竜大, 編集：遠藤文康，＠IT]

　「ゼロトラスト」を目指して「SASE」（Secure Access Service Edge）を導入したものの「思っていたような効果が得られない」「運用が回らない」――。そんな悩みを抱える企業は少なくない。ゼロトラストを現実的に進めるためには何が必要なのか。

　「＠IT NETWORK Live 2026 春」でクラウドネイティブのバーチャル情シス、須藤あどみん氏（以下、あどみん氏）が講演。混同されがちなSASEとゼロトラストの考え方を整理し、実践的な視点からゼロトラストとして何を目指すべきかを語った。

ゼロトラスト再出発のヒント（あどみん氏の講演から引用）

　前編では、SASEとゼロトラストが混同されがちな背景や歴史的経緯を整理。SASEの導入が必ずしもゼロトラストの実現に直結しない理由を解き明かした。「幻想」や「ズレ」を乗り越え、ゼロトラストを現実的に進めていくためには、どうすればよいのか。後編となる本稿で具体的に取り上げる。

ゼロトラスト再出発　実践に必要な「リスク」の考え方

　ゼロトラストのアプローチは、境界防御におけるファイアウォールで守られた「トラステッドネットワーク」が信頼できなくなることだが、セキュリティ対策をしてもリスクをゼロにすることはできない。そこで全てのリスクを特定し、管理する必要がある。

ゼロトラストのリスクへのアプローチ（あどみん氏の講演から引用）

　リスクとは、その事象が派生したときにもたらされる負の影響、および発生する可能性により、情報の機密性、完全性、可用性の3大原則の喪失が生じることだ。「NIST SP 800-37 Revision 2」には、リスクマネジメントフレームワークで、どのようにリスクを管理、あるいは受容、認可、区分していくのかというプロセスが定義されている。

リスクモデルを特定する（あどみん氏の講演から引用）

　リスクマネジメントフレームワークでは、準備、分類、選定、実装、アセスメント、認可、監視の7つのステップを継続的に回すことでリスクを管理する。中でも特に大事なのがアセスメントである。

リスクマネジメントフレームワークの中で特に大事なのがアセスメント（あどみん氏の講演から引用）

　アセスメントの準備では、（1）アセスメントの目的の特定、（2）適用範囲の特定、（3）関連する想定と制限を特定、（4）情報源の特定、（5）リスクモデルと分析アプローチの特定を行う。次にアセスメントの実施で、脅威源と脅威事象の特定、脆弱（ぜいじゃく）性と素因的条件の特定、発生の可能性の特定、影響の大きさの特定により、リスクの判断を行い、さらに結果の伝達と保守を行う。

　アセスメントが実施できたらマネジメントになるが、リスクは時代や組織によって変化する。法規制や組織のポリシー、運用環境が適合しているかどうかも評価になることから、適切な有効期限を設定して、フィードバックサイクルを回していくことが重要になる。

　「リスクをゼロにするのは不可能なので、リスクのない信頼できるものはないという前提で、人と業務と資産が関わるリスクを特定（識別、把握）し、組織にとって受容できるリスクを減じたり、負の影響を抑えたりするITインフラのアーキテクチャ、および戦略が重要になる。これがゼロトラストにつながる」（あどみん氏）

ゼロトラストの推進で重要になるデータガバナンス

　共通の管理策や共通のリソースで、効率のよい、シンプルで美しいITインフラをデザインすることが、ゼロトラストを進める上で重要になるが、もう一つ重要な考え方として「データガバナンス」がある。データガバナンスは、競争力の源である価値あるデータと、そのライフサイクルを企業が定めた通りにコントロールすることだ。定めたルールに基づいて、重要なデータを定義、分類、取得、保持、利用、廃棄する。

　あどみん氏は、「データガバナンスが重要なのは、企業活動を通して利益を拡大するためにデータを活用したいから。データ利活用の効果を最大化し、リスクを最小化することが最大の目的」と話す。

　データガバナンスは、（1）利用目的とポリシーの確認、（2）データの所在と形式の把握、（3）見直しと検討、（4）組み立て・運用開始、（5）モニタリングとフィードバックの5つのステップの繰り返しで実現する。

ゼロトラスト戦略は5つのステップの繰り返しで実現（あどみん氏の講演から引用）

　例えば、（2）データの所在と形式の把握では、重要と定義されたデータの所在を特定し、関連文書なども含めて棚卸しする。また表計算ソフトウェアを使い、データの分類や情報資産名、形式、利用目的などを特定する。ISMS（情報セキュリティマネジメントシステム）に取り組んでいる企業では、すでに実施済みのことが多く、そのデータをデータガバナンスに再利用することもできる。この地道な作業は、何のためにデータを守るコストと労力が必要かを明確にする土台になる。

　あどみん氏は、「棚卸し作業は、情報システム部門やセキュリティチームだけが実施するのではなく、事業部門も含め、ヘルプデスクや経理、総務、法務部門などのバックオフィス部門を中心とした組織横断的な協力や支援が必要。これを更新し続ける必要はあるが、更新頻度は高くなくても十分に活用できる財産となる」と話す。

　棚卸しができると、データの利用状況を可視化することができる。どこに、どのようなデータが保存されているかを「低」「中」「高」で図式化することで、どこに重要なデータが存在しているかを明確にすることができる。例えばエンドポイントにあるデータが重要であることが把握できれば、エンドポイントセキュリティが必要になることが理解できる。

データの所在と形式の把握（あどみん氏の講演から引用）

　「データ利活用の効果を最大化して、リスクを最小化するためには、働き方やデータ流通経路が変わっていくという現実を理解する必要がある。境界防御からインターネット中心の世界に変わってきたことで、人とデータ（資産）が分散していく中で、自組織の重要なデータを把握し、コントロールするためにはアーキテクチャそのものを変えることが必要。ゼロトラストは、現代の答えの一つ」（あどみん氏）

SASEは個別最適、ゼロトラストは全体最適

　ゼロトラストはITインフラ全体をシンプルにする戦略であることから、現時点でSASEが必要であっても、それを恒久的な前提とせず、将来的にSASEへの依存を減らせるITインフラの在り方まで見据えて設計することが重要になる。

　SASEの導入後に苦労している企業は、SASEがセキュリティや利便性の主軸とならないようにすることが必要。ポリシーが複雑、担当者が足りない、コスト、ベンダーサポートに不満、技術的課題など、さまざまな問題があるが、それらを内包して天秤（てんびん）にかけたときにメリットが大きいかどうかを考えることが必要になる。

　「これからSASEを検討する企業は、脆弱なVPN基盤を緊急的に差し替えるためだけに検討するのがベスト。VPNの刷新という個別の課題解決のためにSASEがベストであっても、全体最適を考えたときのインフラがどうあるべきかは同時に検討すべきだ。最も美しいのは、SASEを入れるとしても“いつやめるか”を設計しておくこと」（あどみん氏）

　ゼロトラストは、ITインフラをシンプルにして生産性を高めるための戦略であり、全体最適を目指す設計思想でもある。一方、SASEは個別の課題を解決するための手段であり、導入や運用には追加の工数や専門性が求められる。SASEによって全てのリスクや課題を解消しようとするのではなく、組織として受容できるリスクを見極め、どこまで対策するかを判断することが重要だ。個別の対策に注力し過ぎると、ゼロトラストが目指す全体最適を見失いかねない。

　あどみん氏は、「インターネットフル活用の現代において、ゼロトラストが最適解なのは事実だが、同時に境界型防御が否定されることもない。ゼロトラストは、これまで培ってきたネットワークの知識や経験が生み出したものであり、その経験こそがゼロトラスト化を加速させる。喫緊の課題に対処すべく個別最適を行うのは大変重要なことだが、並行してゼロトラストという全体最適は検討し続けてほしい」と話している。