2026.08.10
ゼロトラストで守る分散勤務の情報資産
- バーチャルオフィス
ゼロトラストとは、社内ネットワークにいるから安全だとみなさず、ユーザー・端末・通信ごとに継続して検証する考え方です。拠点やクラウドに業務が分散した今、境界だけを守る対策では重要な情報資産を守り切れません。
在宅勤務では、社内アプリへの接続、私物端末の利用、クラウドサービスへのデータ保存が同時に起こります。利便性を優先して例外を増やすと、攻撃者が一度侵入した後に横移動しやすくなり、原因調査にも時間を要します。
本記事では、認証と端末状態を基盤にしたアクセス設計、在宅接続の見直し、無許可サービスの把握、PCログ管理の運用を順に解説します。少人数の情報システム部門でも、優先順位を付けて段階的に進められる構成です。
ゼロトラストの基本原則を理解する
信頼を前提にしないアクセス制御とは
ゼロトラストの要点は、「Verify and Never Trust（決して信頼せず必ず確認せよ）」をアクセスのたびに実行することです。2010年にForrester Research社が提唱した概念であり、社内・社外という接続場所だけで安全性を判定しません。
従来の境界型防御は、VPNで社内へ入った利用者を比較的広く信頼しがちでした。これに対し、本人確認、端末の更新状態、利用アプリ、要求するデータの重要度を照合し、必要な範囲だけを許可します。
- 多要素認証とシングルサインオンで本人性を確認する
- 最小権限でアプリやデータ単位の利用範囲を絞る
- 端末状態と通信ログを基にアクセスを再評価する
なぜ境界型防御だけでは足りないのか
クラウド利用、BYOD、委託先との共同作業が増えると、社内LANという境界は実務上あいまいになります。企業の54%が、2021年にはセキュリティインシデントが前年に比べて増加したと回答しており、侵入後の被害拡大を防ぐ設計が欠かせません。
まずは重要データ、利用者、端末、SaaSを棚卸しし、誰が何に接続できるかを可視化します。試行環境を用意する際は、クラウドサービスで提供される「$300 分の無料クレジット」のような制度も確認し、小さな対象で認証ポリシーを検証すると安全です。
- 重要度の高いデータからアクセス経路を図示する
- 共有アカウントを廃止し、個人単位の認証へ移す
- 例外権限には期限と承認者を設定する
在宅VPNをゼロトラスト型へ見直す
VPNは入口の安全策であり、権限管理が必要です
在宅VPNは、インターネット上に暗号化トンネルを作り、社内システムへ接続する仕組みです。ただし、接続後にネットワーク全体へ到達できる構成では、認証情報の窃取や感染端末からの横移動を十分に抑えられません。
在宅勤務の利用率として約40%や43.4%という調査値も示され、遠隔接続は一時的な例外ではなくなりました。IPSecやSSL/TLSを使う場合も、TLS 1.3の利用、多要素認証、端末証明書、接続先をアプリ単位に絞る制御を組み合わせる必要があります。
- VPN接続後に利用可能な宛先を業務単位で制限する
- 管理外端末や更新停止端末の接続を拒否する
- 認証失敗と異常な接続地域を即時に確認する
VPNからZTNAへ移す判断基準
在宅VPNを直ちに廃止する必要はありません。ファイルサーバーなどネットワーク接続を前提とする古い業務ではVPNを維持し、SaaSやWebアプリからZTNAへ移すなど、アプリの性質に応じて段階的に分離することが現実的です。
運用資料の更新日 : 2026-01-28 のように、接続手順・対象アプリ・緊急連絡先を最新化する運用も重要です。同時接続時の遅延、認証失敗率、問い合わせ件数を導入前後で比較し、利用者の負担を増やさずに移行範囲を決めます。
- 全社VPNの前に、クラウド業務から個別アクセスへ切り替える
- 停止時の緊急アクセスと復旧手順を文書化する
- 通信量だけでなく、許可先の広さを評価指標にする
シャドーIT対策は可視化から始める
禁止だけでは無許可利用は減りません
シャドーIT対策では、無許可のストレージ、個人メール、生成AI、翻訳サイト、ブラウザ拡張機能を見つけ、業務上の必要性を確認することが先決です。一律禁止だけを強めると、現場はより見えにくい経路へ移り、実態把握が困難になります。
テレワーカー調査では、「頻繁に」または「常に」個人用デバイスから企業データにアクセスしている：39%とされています。公式ツールの使いにくさや承認の遅さを放置せず、安全な代替手段と簡潔な申請窓口を整えることが抑止策になります。
- SaaS、端末、ブラウザ拡張機能を台帳に登録する
- データ分類に応じて許可・条件付き許可・禁止を定める
- 例外利用には保存先、管理者権限、期限を確認する
発見から是正までの実務フロー
シャドーIT対策は、通信記録と端末資産情報から候補を抽出し、利用部門に用途を確認したうえで是正する流れが有効です。個人所有の端末を業務に利用している：37.6%という実態を前提に、利用者を責めるのではなくリスクと代替策を説明します。
評価では、扱う情報、保存地域、共有設定、退職者のアカウント削除、管理者権限を確認します。安全性を満たせないサービスは公式ツールへ移行し、移行期限を合意します。未承認アプリ数と是正までの日数を追うことで、対策の効果を継続的に測れます。
- 検知したサービスを利用目的とデータ重要度で分類する
- 部門責任者と情報システム部門で許可判断を行う
- 廃止後もデータ削除と共有リンクの無効化を確認する
PCログ管理で継続的な監視を運用する
ログは取得目的を定めてから集めます
PCログ管理は、端末の利用状況を過剰に監視するためではなく、異常の検知、原因調査、資産管理に必要な証跡を確保する取り組みです。認証履歴、端末のセキュリティ状態、ファイル操作、外部媒体利用を目的に応じて関連付けます。
ログの範囲、保存期間、閲覧権限を就業規則や社内規程で明示し、従業員へ事前に説明してください。私生活の監視と受け取られないよう、業務端末・業務アカウント・保護対象データに対象を限定し、必要最小限の情報だけを扱います。
- 認証、端末、ネットワーク、SaaSの記録を時刻同期する
- 高権限操作と大量ダウンロードに優先度を付ける
- 閲覧者とログ出力の権限を分離する
検知結果を改善につなげる運用設計
PCログ管理で重要なのは、記録をためることではなく、誰が、どの通知を、いつ確認するかを決めることです。SIEMでログを集約し、EDRの端末検知やID管理の認証記録と突き合わせれば、不審な操作の優先度を判断しやすくなります。
小規模組織では、重要端末と管理者アカウントから始め、監視対象を広げます。SWiseのように出退勤や業務状況をデータで可視化するバーチャルオフィスを使う場合も、勤怠情報とセキュリティ記録の利用目的を混同せず、権限と保管場所を分けることが大切です。
- 初動担当者、隔離判断者、利用部門への連絡担当を決める
- 検知から確認、封じ込めまでの時間を定期的に測る
- 月次で不要なログと過剰な権限を見直す
まとめ
分散勤務の安全性は、単一製品だけでは実現できません。ゼロトラストの原則に沿って、ID、端末、アプリ、データ、ログを結び付け、利用状況に応じて権限を見直すことが、侵害後の被害を小さくします。
要点
- 多要素認証と最小権限を、重要データへのアクセスから適用する
- 在宅接続はVPNの有無ではなく、接続後に許可する範囲で評価する
- 無許可ツールは利用理由を把握し、安全な代替手段とともに是正する
- ログは目的・閲覧権限・対応手順を定めて初めて有効になる
最初の一歩は、重要データにアクセスする利用者、端末、SaaSを一覧化することです。現状を可視化したうえで、認証強化、端末管理、アクセス分離の順に小さく検証し、自社の業務を止めない安全な運用へ進めましょう。
よくある質問
Q1. ゼロトラストはVPNを廃止しなければ導入できませんか？
いいえ。既存VPNを残しつつ、多要素認証、端末状態の確認、接続先の限定から始められます。WebアプリやSaaSはZTNAへ段階的に移す方法が有効です。
Q2. シャドーITを見つけた場合、すぐに利用停止すべきですか？
機密情報の漏えいなど緊急性が高い場合を除き、用途とデータの重要度を確認してください。安全な代替手段と移行期限を示すことで、業務停滞を避けながら是正できます。
Q3. PCログ管理では何を優先して記録すべきですか？
まずは認証履歴、管理者権限の操作、端末のセキュリティ状態、重要データの大量ダウンロードを優先します。取得目的と閲覧権限を明確にし、必要最小限の範囲で運用します。
Q4. 参考資料はどこを確認すればよいですか？
NIST SP 800-207、CISAのゼロトラスト関連ガイダンス、デジタル庁の政府情報システムに関するセキュリティ方針を確認してください。実装時は利用するID管理、EDR、SaaSの公式ドキュメントも併読することが重要です。
Q5. 参考URLを教えてください。
https://csrc.nist.gov/pubs/sp/800/207/final 、https://www.cisa.gov/zero-trust-maturity-model 、https://www.digital.go.jp/resources/open_data を参照し、自社の規程や利用サービスの条件と照合してください。