VPNとは

VPN（Virtual Private Network）とは仮想的な専用の通信網を確立し、インターネットにおける通信データを暗号化し、社内のオンラインデータを第三者から保護する技術です。アクセス時に認証システムを設け、一度安全と「許可」した範囲内のアクセス以外は拒否する「境界型モデル」という仕組みになっています。1990年代前後に技術が開発・確立されてから、リモートワークなど多様な働き方がある現代に至るまで、各企業のあらゆる情報資産を保護してきました。

まずはVPNを「インターネットVPN」と「IP-VPN」に大別して、それぞれ利用用途や注意点を解説します。

クローズドネットワークのIP-VPN

通信業者によって企業ごとに設けられた専用のクローズドネットワークを使うVPNです。クローズドかつオリジナルなネットワークを活用し、通信速度や品質が安定しているのが魅力です。一方で、運用コストが高額になりがちな点や、一度不正に侵入されると社内ネットワークすべてにアクセスされるリスクがあります。

オープンネットワークのインターネットVPN

誰でも使えるインターネット回線をそのまま流用するVPNで、IP-VPNと比較するとかなりの低コストで利用できます。一方で、世界共通のインターネットを使うため、誰でも自社のネットワークに不正アクセスしやすいリスクが伴います。また、通信品質・速度なども不安定な面がある点も注意です。

ゼロトラストネットワークアクセス（ZTNA）とは

ZTNA（Zero Trust Network Access）とは、2019年にGartner社が提唱した仕組みで、社内・社外を問わず厳密にアクセス制御するのが特徴です。社内の情報資産にアクセスするものはすべて信用せず、その安全性を検証するという「ゼロトラスト」の原則に則っています。ZTNAではユーザを直接アプリケーションに接続するため、VPNのようにネットワークに依存することなく情報資産を保護できます。

ZTNAがセキュリティ用語として登場した頃は“VPNに代わる理想的で新しいセキュリティの仕組み”のように扱われ、国内企業では「本来はセキュリティ面で優れるZTNAに切り替えるべきだが、工数やコストを考慮するとしばらくはVPNのままで運用する」という傾向がありました。

しかし、VPNの脆弱性を突いたサイバー攻撃が多発する現在では、実際に国内の大企業を筆頭に導入が拡大しています。ZTNAは今や“ビジネスに必須の現実的なセキュリティ戦略”となりつつあるのです。

ゼロトラストネットワークアクセス（ZTNA）とVPNの違い

VPNとゼロトラストネットワークアクセス（ZTNA）には、下記の表のように様々な違いがあります。

ここからはVPNとゼロトラストネットワークアクセス（ZTNA）の違いについて、IIJ編集部にもよく問い合わせがある部分を中心に解説します。

セキュリティポリシーが違う

もっとも顕著な違いとしてセキュリティポリシーの違いがあります。VPNはネットワーク単位でのアクセス許可であり、一度許可すると基本的に広範囲にアクセス可能な「信頼するセキュリティ」です。一方で、ZTNAはアプリ単位のアクセス制御で、内部にアクセス後も継続的に認証する「何も信頼しないセキュリティ」となっています。セキュリティポリシーの観点でいえば正反対のスタンスといえるでしょう。

セキュリティの範囲や強度が違う

セキュリティポリシーが異なることから、セキュリティの範囲や強度も大きく違っているといえるでしょう。VPNは特定のネットワーク全体を包括する形で制御する一方で、ZTNAは特定のネットワークの中で部門や階層などに個別の細かなアクセス制御をかけるイメージです。

VPNが一度侵入してしまえば全体にアクセスできる一方で、ZTNAは一部権限に侵入できてもほかの部門の権限へアクセスできません。ZTNAは個々のセキュリティ範囲は極めて小さいですが、だからこそ細かな認証を必要とし、全体のセキュリティの強度を高めています。

セキュリティにおける拡張性や効率性が違う

従来のVPNでは拠点ごとや利用環境ごとにVPN機器・設定を管理するケースが多く、ユーザや拠点数が増えることでアクセスの個別管理も煩雑になる傾向があります。一方で、ZTNAではクラウドベースの管理基盤を利用してアクセス制御ポリシーを集中的に管理できる製品が多く、クラウド上でユーザやデバイスに応じた権限管理やアクセス制御を拡張性高く実現できます。

一方で、企業によっては、自社環境や運用要件に応じて独自のアクセス管理基盤を設計するケースもあります。例えば、取引先や海外拠点などの社外関係者によるリモートアクセスのみを専用の基盤で管理し、利用者や接続環境に応じて柔軟に制御する方法です。アクセス管理の拡張性やセキュリティを重視する場合は、必ずしもVPNもしくはZTNAだけに限定せずに検討することが大切です。

VPNが抱える課題

ZTNAとVPNの比較をしたうえで、つづいてはVPNが抱える課題をいくつかピックアップして深掘りします。

インターネットの回線速度が落ちる

VPNでは利用者数の増加や通信の集中によって、VPN装置や回線に負荷がかかり、通信性能が低下する場合があります。特にリモートワーク利用者が増えると、クラウドサービスへのアクセスもVPN経由となることで遅延が発生しやすくなります。また、インターネットVPNは公衆インターネットを利用するため、通信品質が利用状況や経路の影響を受けやすい点も課題です。

拡張性に課題がある

VPNはネットワーク単位でアクセスを制御するため、アプリケーションレベルでの制御が可能なZTNAと比べるとアクセス制御の粒度が低いです。また、専用線・閉域網を個別で設けるIP-VPNなどは、拠点を追加・変更する際に新たな工事が必要です。企業によっては、ZTNAや独自のアクセス管理基盤を利用してアクセス制御を集中的に管理し、運用負荷の軽減や柔軟な設定変更を実現しています。

セキュリティインシデントのリスクがある

VPNは一度認証したユーザやセッションを「信頼する」システムです。VPNでは一度ネットワークへの接続が許可されると、アクセス可能な範囲が広くなりやすく、適切なネットワーク分離やアクセス制御が行われていない場合には横移動のリスクが高まります。一部の企業はインシデントと被害拡大防止を懸念して、脱VPNとZTNA移行に踏み出しています。

企業の脱VPN・ZTNA構築が進む背景

ここまでVPNの抱える課題について整理してきましたが、国内外問わず「脱VPN」が進んでいる背景には様々な外的要因も絡んでいます。ここでIIJ編集部が考える「VPNを取り囲む状況の変化」について少し触れていきます。

1. リモートワークの影響でワークプレイスの境界が曖昧になり多様化した

リモートワークなど自宅やオフィス外での業務が当たり前になり、社内外の「境界線」が曖昧になっています。また、私用PCやスマートフォンなどのBYODから社内ネットワークへアクセスする機会も多く、企業が直接管理しにくい環境からのアクセスが増加しています。このような環境変化を背景に、従来のVPNでは管理しきれないケースも増え、ZTNAが検討されています。

2. クラウドの浸透によるインターネットトラフィックの増加

近年ではクラウドサービス(SaaS)利用による効率的なコミュニケーションやデータ管理が可能になりました。一方で、クラウド利用の増加によってVPN基盤やネットワークへの負荷が高まり、通信品質に影響を与えるケースもあります。特にインターネットVPNは通信環境が不安定になりやすく、脱VPNのきっかけの一つになっています。

3. レガシーVPNの脆弱性を狙った攻撃の頻発

VPNの利用シーンが増えるにつれて、旧型のVPN機器やVPNサービスの脆弱性を狙った攻撃が多発するようになりました。脆弱性対応のパッチが公開されているにもかかわらず、企業が更新を放置して未対応のままの機器も存在します。

こうした「レガシーVPN」は、サイバー犯罪者の恰好のターゲットです。VPNでは一度ネットワークへのアクセスが許可されると、設計によってはアクセス可能な範囲が広くなり、攻撃者の横移動リスクが高まる場合があります。そのため、パスワードなどの認証情報や機密情報の漏えい、ランサムウェア感染などの被害に繋がるケースも増加中です。VPNの脆弱性について詳しく知りたい方は下記コラムも併読ください。

4. 情報システム部門の業務負荷の増大

さまざまな環境変化に伴い、増大するトラフィックの制御やネットワーク機器の増設・メンテナンスなど、システム部門の負荷も高まっています。ユーザのアクセス環境が多様化しており、リモートアクセス環境に対して統一したセキュリティポリシーを設定するのは困難です。

そこでアクセス経路やユーザ単位で管理方法を整理し、統一的なポリシーやガバナンス徹底を実現する企業も少なくありません。例えば「まずは外部事業者のアクセス管理から見直し、その後に社員向けへ展開する」といった段階的なアプローチを取ることで、移行時の負荷や運用上の影響を抑えながらゼロトラスト化を進めることができます。

VPNの脆弱性が狙われたサイバー攻撃事例

上記のような課題を抱えるVPNは、実際にサイバー攻撃などの標的にされています。ここで実際の攻撃例を紹介しつつ、それぞれがどのような対策を講じておくべきだったのか考えてみます。

1. スーパー経営企業への攻撃

2024年2月にスーパーマーケットのグループ会社のサーバーが不正アクセスを受け、一部サーバーデータが暗号化されるなどのランサムウェア被害が発生しました。同社はVPNの脆弱性が悪用され、侵入経路となったと公表。これにより発注システムに支障が出るなど、一部の会員向けサービスを停止しました。個人情報漏えいは確認されていませんが、会員カードなどの778万件の個人情報が閲覧できる状態にあったとされます。

2. 岡山の医療機関を狙った攻撃

2024年5月、岡山県の医療機関で電子カルテを含む総合情報システムがランサムウェア攻撃を受け、電子カルテが閲覧できなくなりました。VPNの脆弱性を放置していたこと、また推測可能なID/PWを保守用VPNで使用していたほか、すべてのサーバ・端末ユーザに管理者権限が付与されていたことが調査報告で判明しています。患者の個人情報等が最大4万人分流出した可能性があります。

3. 国内大手飲料メーカーへの攻撃

2025年9月に発生したビール会社のランサムウェア攻撃では、システム障害が発生する10日前にグループ内の拠点にあるネットワーク機器を経由して侵入されたことが判明しています。その後PWの脆弱性を悪用し管理者権限を奪取、業務時間外にサーバへの侵入を繰り返し、情報の窃取とランサムウェア実行がされています。本攻撃ではVPN経由という明言はされていないものの、事後の対策としてVPNの廃止を行っており、VPNが要因となった可能性が高いとされています。

VPNからZTNAへ移行するメリット

ここまで解説した通り、VPNのセキュリティは万全ではありません。そのVPNに代わる仕組みとして台頭しているのがZTNAです。国内外の大企業がすでにZTNAを採用していますが、その理由はセキュリティ上の確かなメリットがあるためです。ここからはVPNにはないZTNA独自のメリット・魅力を紹介します。

1. リソースやポートに対する攻撃リスクを抑制できる

ZTNAでは基本的にユーザー（端末）は、ZTNAベンダーが提供するアクセスポイントと通信します。そのため、社内ネットワークなどのリソース（いわば開口部）を外部から隠せるため、VPNと比べ外部からの攻撃リスクを抑えられます。

2. マルウェアの拡散を抑えることができる

VPNではネットワークレベルでの接続がされるため、端末からのマルウェア・ランサムウェアが容易に拡散されてしまいます。一方で、ZTNAではアプリケーションレベルでのアクセスになり、端末からのマルウェア・ランサムウェアの拡散を防ぐことができます。仮に侵入されたとしても、ZTNAはVPNと比べると被害範囲を限定できるでしょう。

3. 認証・認可を強固かつきめ細かく制御できる

上述の事例の通り、旧型のVPN装置はパスワード認証だけのものも少なくありません。またVPNに限らず複数のサービスを利用するケースにおいて、その認証強度がまちまちであることもよくあります。

パスワードの使い回しや、容易に想像がつく低強度のパスワードなどは不正アクセスの原因になりがちです。ZTNAでは多要素認証を含む認証・認可のポリシーをアプリケーションレベルで設定でき、かつ一元管理できます。セキュリティの運用・保守をシンプルにしたい場合はZTNAがおすすめです。

4. ネットワークトラフィックの集中や遅延を防げる

VPNの通信は社内ネットワークを経由することが多いです。そのためMicrosoft TeamsやZoomといったクラウド上にあるリソースも、社内ネットワーク経由でアクセスします。多くの従業員がVPNを利用することでトラフィックが集中し、通信の遅延などが生じやすいです。

一方で、ZTNAでは認証・認可に基づいて必要なアプリケーションやリソースへアクセスを許可するため、従来のVPNのようなトラフィックの過集中が起きにくく、通信の遅延などのリスクを軽減しやすくなります。

VPNを利用する上でのトラフィック抑制の仕組みとしてはインターネットブレイクアウトという手法がありますが、別途セキュリティ対策を検討しなければなりません。ZTNAはクラウドサービス向け通信の通信経路を最適化しながら、強固な認証システムによるセキュリティ向上も担います。SASEの一要素として提供されるケースも多く、SWGやCASBなどを組み合わせることで、より包括的なアクセス管理を実現できるのも強みです。

脱VPNで整理しておきたいポイント

最後に脱VPNする前に整理しておきたいポイントを解説します。ZTNAは自社のセキュリティレベルを引き上げる手段になり得ますが、ID管理や端末管理とも連携して利用されることが多いアーキテクチャのため移行には慎重な判断を要します。自社に最適なゼロトラストソリューションを選ぶ際の参考にしてください。

誰を管理・制御したいか整理する

最初に重要なのが、脱VPNするにあたって「誰」のアクセスを制御し、セキュア化したいのか整理することです。社員・業務委託者・子会社・海外拠点駐在員・保守ベンダーなど、社内システムにアクセスする立場は様々です。それぞれをどのシステムにアクセスさせるのかを整理しておけば、自社に適したアクセス管理の構成やソリューションが見えてきます。下記コンテンツでは自社の環境に合わせたアクセス管理の選び方を解説中です。リモートアクセスの管理・制御に興味のあるIT担当者の方は併せてお読みください。

必要な管理レベルを想定する

社内外のアクセスに対して、どの程度まで管理・制御したいのかを整理することも大切です。例えば以下のような考え方ができます。

このように「誰を管理するか」だけでなく、「どこまで管理したいか」によって適したソリューションは異なります。

自社の運用体制にあった構成を選ぶ

業界や企業によっては、IT・セキュリティ人材が十分でない場合もあるでしょう。ZTNAはゼロトラストアーキテクチャを構成する重要な要素のひとつであり、導入に際しては多くのリソースを割く場合も少なくありません。しかし、徐々にゼロトラストを実現するために、リスクや運用負荷の高い領域から段階的に整備するといったように段階を踏んで、自社の運用体制に合ったセキュリティ構成を選ぶことが大切です。

脱VPN後、セキュリティ体制の一つの選択肢

脱VPN後のセキュリティは優先度を付けて、段階を踏んで「ゼロトラスト」に近づけていくことが推奨されます。そして、あらゆる日系企業で課題となっているのが「委託業者や海外拠点といった社外関係者のリモートアクセスをどう制御するのか」という点です。IIJでは「IIJ Safous 特権リモートアクセス」という社外関係者の管理・制御に強みのあるサービスを提供しています。

以上のように、Safousはセキュリティリスクの大きい社外アクセスを制御・管理することで、ZTNAを補完する形で強固なセキュリティ体制を実現します。ゼロトラスト実現に向けて社外アクセスの管理が大きな懸念事項である場合に最適です。

なお、エージェントレス・ブラウザベースのため、幅広い業界業種で導入・運用しやすいことも特徴です。9業種の課題と解決策をまとめた「IIJ Safous ユースケース」や、自社の社内外のアクセス管理方法を確認できる「特権リモートアクセス (PRA) 要件チェックリスト」など、サービスに関する無料資料も取り揃えておりますので併せて参照ください。

サービスの詳細やお見積りなど担当者よりご返事します

フォームでのお問い合わせ

1

ご相談やご質問をお知らせください

2

担当者よりメールまたはお電話でご連絡いたします

今すぐ相談する ホワイトペーパー無料ダウンロードはこちら

関連リンク

• ゼロトラストネットワークアクセス（ZTNA）とは。背景やゼロトラストを実現する機能を解説
• SASEとは？ ゼロトラストネットワークアクセス（ZTNA）とどう違い、どのような機能があるのか
• ゼロトラストネットワークとは？境界防御にはない強靭性・利便性のポイントを解説