VPN は本当に廃止すべきなのか？ ZTNA との違いから考える、これからのリモートアクセス
VPN は、⻑年にわたり企業のリモートアクセスを支えてきました。オフィスの外から社内システムへ安全に接続するための仕組みとして、今も多くの組織で重要な役割を担っています。
その一方で、企業を取り巻く IT 環境は大きく変化しました。ハイブリッドワークが定着し、業務アプリケーションはデータセンターだけでなく、クラウドにも分散しています。アクセスするユーザーも、従業員に限りません。委託先や取引先、保守担当者など、さまざまな立場の人が、多様なデバイスと場所から企業の情報資産へ接続するようになりました。
何より見過ごせないのが、日本ではVPN機器が攻撃者にとって最も一般的な侵入経路になっている、という変化です。警察庁の資料によると、日本におけるランサムウェアの侵入経路はVPNが６割以上を占めています。
（出典：令和７年におけるサイバー空間をめぐる脅威の情勢等について “https://www.npa.go.jp/publications/statistics/cybersecurity/”）
こうした変化を背景に、従来の VPN を見直し、ゼロトラストネットワークアクセス（ZTNA）への移行を検討する企業が増えています。
では、VPN はすぐに廃止すべきなのでしょうか。
答えは、それほど単純ではありません。重要なのは、「VPN か ZTNA か」という二者択一ではなく、それぞれの特徴を理解し、ユーザー、アプリケーション、業務要件に応じて最適なアクセス方法を選ぶことです。
本記事では、VPN と ZTNA の違いを整理しながら、企業がリモートアクセスを見直す際のポイントを、セキュリティ、運用、ユーザー体験の観点から解説します。
ZTNAは自力でゼロトラストを達成することはできません | eBookを入手するなぜ今、VPNの見直しが求められるのか
VPN は、社外のユーザーを企業ネットワークへ接続するための有効な⼿段です。 |
しかし、VPN が広く普及した当時と現在とでは、企業ネットワークの前提そのものが異なります。 |
かつては、ユーザーの多くがオフィスで働き、業務アプリケーションやデータも社内のサーバーに集約されていました。このような環境では、社外のユーザーをいったん企業ネットワークへ接続し、そこから社内システムを利用させる VPN の仕組みは合理的でした。
現在は、ユーザーもアプリケーションも企業ネットワークの外側に広がっています。にもかかわらず、すべての通信をいったん社内ネットワークへ戻す構成を維持すると、セキュリティや運用、パフォーマンスの⾯で課題が生じやすくなります。
代表的な課題として、次のようなものが挙げられます。
- ユーザーやデバイスの増加に伴い、アカウントやアクセス権の管理が複雑になる
- 接続後、業務上必要な範囲を超えてネットワークへアクセスできる場合がある
- VPN 機器や認証情報がサイバー攻撃の標的になる
- 利用者の増加により、VPN 装置の処理能⼒や通信性能がボトルネックになる
- クラウドサービスへの通信をデータセンター経由にすることで、遅延が発生する
- VPN、認証基盤、セキュリティ製品、監視ツールの個別管理が IT 部⾨の負担になる
これは、VPN そのものが悪いという話ではありません。問題は、従来のアクセスモデルが、現在の働き方やアプリケーション環境に合わなくなりつつあることです。
加えて、脆弱性が公開されてから悪用されるまでの時間そのものが短くなっている点も見過ごせません。多くの組織が、自動化された攻撃ツールの速度にパッチ適用が追いつかない状況にありますが、これがフロンティアAIの台頭でさらに短縮されるとの指摘もあります。（出典：Cato Networksブログ “https://www.catonetworks.com/blog/the-mythos-moment/”）
VPN と ZTNA は何が違うのか
VPN と ZTNA の最も大きな違いは、ユーザーを「ネットワークに接続する」のか、それとも「必要なアプリケーションに接続する」のかという点です。
| 比較項目 | VPN | ZTNA |
| 基本的な考え方 | ユーザーを企業ネットワークへ接続する | ユーザーを許可されたアプリケーションへ接続する |
| アクセス範囲 | 構成によっては、接続後に広い範囲へアクセスできる | 業務に必要なアプリケーションへアクセスを限定しやすい |
| アクセス可否の判断 | ログイン時のユーザー認証が中心となることが多い | ユーザー、デバイス、場所、アプリケーションなどの情報を基に判断する |
| ポリシー管理 | ネットワークや接続先が増えるほど複雑になりやすい | ユーザーやアプリケーション単位でポリシーを設定しやすい |
| ユーザー体験 | VPN 装置の混雑や通信経路の影響を受ける場合がある | アプリケーションへ直接接続する構成を取りやすい |
オフィスビルへの入館に置き換えると、この違いが分かりやすくなります。
VPN は、社員証を提示してビルの入⼝を通過する仕組みに似ています。いったん中へ入った後、どの部屋まで行けるかは、ビル内の区画や追加のアクセス制御に左右されます。
一方、ZTNA では、利用者の本人確認に加えて、使用しているデバイス、入室を希望する部屋、アクセスの目的などを確認し、許可された扉だけを開けます。
つまり、ネットワーク全体への接続を前提とせず、業務に必要なリソースへのアクセスだけを許可するのが、ZTNA の基本的な考え方です。
ZTNA がもたらす 4 つのメリット
必要なアプリケーションだけにアクセスを限定できる
ZTNA では、ユーザーの役割や業務内容に応じて、アクセス可能なアプリケーションを細かく制御できます。
例えば、経理部⾨のユーザーには会計システムへのアクセスを許可し、開発環境には接続させないといったポリシーを設定できます。外部の委託先やパートナーに対しても、業務に必要な特定のアプリケーションだけを公開できます。
アカウントやデバイスが侵害された場合でも、アクセスできる範囲をあらかじめ限定しておくことで、被害の拡大や攻撃者によるネットワーク内の横移動を抑えやすくなります。
ハイブリッドワークとクラウド活用に対応しやすい
ZTNA では、ユーザーがオフィス、自宅、出張先のどこにいるか、アプリケーションがデータセンター、パブリッククラウド、SaaS のどこにあるかにかかわらず、一貫したアクセス方針を適用できます。
「社内ネットワークの内側にいるから信頼する」という境界型の考え方ではなく、アクセスするユーザーやデバイスの状態を確認したうえで許可を与えるため、ユーザーとアプリケーションが分散した環境にも適しています。
ユーザーと IT 部⾨の負担を軽減できる
複数の VPN 装置や接続方法、認証システム、セキュリティ製品を個別に運用していると、ユーザーと IT 部⾨の双方に負担がかかります。
ユーザーは、アクセス先によって異なるクライアントや接続⼿順を使い分けなければならないかもしれません。IT 部⾨には、アカウント管理、アクセス権の設定、装置の更新、障害対応といった作業が積み重なります。
アクセス方法とポリシー管理を ZTNA によって統一できれば、ユーザーにとって分かりやすい接続環境を提供しながら、IT 部⾨の運用負荷も軽減できます。
ゼロトラストへの移行を具体化できる
ゼロトラストでは、「ネットワークの内側にいるから安全」「一度認証したから信頼できる」という前提を置きません。
ZTNA では、ユーザーのアイデンティティ、デバイスのセキュリティ状態、アクセス元、対象となるアプリケーションなどを考慮し、アクセスの可否を判断します。製品や構成によっては、接続後もリスクや状態の変化を継続的に評価できます。
もちろん、ZTNA を導入するだけでゼロトラストが完成するわけではありません。しかし、最⼩権限の原則に基づいてアクセスを制御する ZTNA は、ゼロトラスト戦略を具体化するうえで重要な要素となります。
VPN を一夜にして廃止する必要はない
VPN から ZTNA への移行は、すべてを一度に切り替える大規模なプロジェクトである必要はありません。
企業によっては、古い認証方式を利用するレガシーアプリケーション、拠点間接続、管理者によるネットワークレベルのアクセスなど、VPN が引き続き適している用途があります。
そのため、一定期間は VPN と ZTNA を併用しながら、段階的に移行する方法が現実的です。
例えば、次のような領域から ZTNA の適用を始めることが考えられます。
- 利用頻度の高い Web アプリケーション
- SaaS やクラウドへ移行した業務システム
- 委託先や外部パートナーに提供するアクセス
- アクセス権の管理が複雑になっているアプリケーション
- VPN の性能や使い勝⼿に課題がある部⾨
- 管理対象外のデバイスから利用されるアプリケーション
まず対象を限定して導入し、ポリシーの妥当性やユーザー体験、運用方法を確認します。その結果を踏まえて適用範囲を広げていけば、業務への影響を抑えながら移行を進められます。
検討の出発点は、「VPN をいつ廃止するか」ではありません。
「それぞれのユーザーやアプリケーションに、どのアクセス方法が最も適しているか」と考えることが重要です。
リモートアクセスを見直すための 3 つの質問
製品や技術の比較を始める前に、まず現在のアクセス環境を把握する必要があります。次の 3 つの質問から検討を始めてみましょう。
誰が、どのアプリケーションへアクセスしているか
従業員だけでなく、委託先、取引先、保守担当者なども含めて確認します。
アクセス先についても、社内システム、クラウド、SaaS、開発環境などに分類し、誰に、どこまでのアクセスが本当に必要なのかを整理します。
現在の VPN 環境で、最も大きな課題は何か
セキュリティ、パフォーマンス、ユーザー体験、運用負荷のうち、どこに最も大きな課題があるのかを明確にします。
「VPN への接続に時間がかかる」「問い合わせが多い」「アクセス権が必要以上に広い」「装置の増設や更新が必要」といった具体的な問題を洗い出すことで、優先的に見直すべき領域が見えてきます。
今後、働き方とアプリケーション環境はどう変わるか
クラウド移行、海外展開、M&A、外部人材の活用など、今後予定されているビジネス上の変化も考慮する必要があります。
現在の問題を解決するだけでなく、数年後の事業環境にも柔軟に対応できるアクセス基盤を選ぶことが重要です。
日本国内でも「脱VPN」の検討が進んでいる
この流れは日本でも顕著です。国内でも、クラウドシフトとテレワークの定着を背景に、境界型防御の見直しやZTNA導入を検討する企業が増えています。ZTNAを含むネットワークは、最もゼロトラストの取り組みが進むシステム領域です。（出典：”https://www.gartner.co.jp/ja/newsroom/press-releases/pr-20250508-zero-trust”）
Cato Universal ZTNA で、段階的なアクセス変⾰を
Cato Universal ZTNA は、ユーザーがオフィス、自宅、外出先のどこにいても、企業リソースへのアクセスに一貫したゼロトラストポリシーを適用します。
ユーザーのアイデンティティだけでなく、デバイスのセキュリティ状態、アクセス元の地理的位置、対象となるアプリケーションのリスク、コンプライアンスなど、さまざまな情報を基にアクセスを制御できます。
さらに、Cato Universal ZTNA は、ネットワークとセキュリティをクラウド上で統合するCato SASE Cloud Platform の一部として提供されます。
リモートアクセスだけを独立したポイントソリューションとして運用するのではなく、拠点、クラウド、モバイルユーザーを含む企業全体の通信とセキュリティを、共通のポリシーと管理基盤の下で一元的に運用できます。
これにより、企業は既存の VPN をすぐにすべて置き換えるのではなく、現在の環境や業務要件に合わせて、ZTNA への移行を段階的に進めることができます。
目指すべきは VPN の廃止ではなく、より安全で使いやすいアクセス
VPN は、多くの企業にとって今も重要なアクセス⼿段です。しかし、ハイブリッドワークやクラウド活用の拡大、サイバーリスクの変化を考えると、VPN だけですべてのアクセス要件に対応することが最適とは限りません。
ZTNA は、ユーザーをネットワーク全体へ接続するのではなく、業務に必要なアプリケーションだけにアクセスさせることで、セキュリティ、ユーザー体験、運用管理を改善する選択肢となります。
リモートアクセスの見直しにあたっては、まずセキュリティアセスメントを実施し、現在の環境を正しく把握することが重要です。誰が、どのアプリケーションへ、どのようなデバイスと方法でアクセスしているのかを可視化することで、過剰なアクセス権や運用上の負担、パフォーマンス上のボトルネックなど、優先的に改善すべき課題が見えてきます。
そのうえで、VPN を継続して利用する領域と、ZTNA へ移行する領域を整理し、自社の業務要件やリスクに合った段階的な計画を立てることが大切です。
Cato Networks は、Universal ZTNA を含む Cato SASE Cloud Platform を通じて、リモートユーザー、拠点、クラウドを横断する、安全で一貫したアクセス環境の実現を支援します。
現在の VPN 環境にどのような改善余地があるのか、セキュリティアセスメントをどのように進めるべきか、あるいは ZTNA をどこから導入すべきかを検討されている場合は、ぜひCato Networks へご相談ください。
Cato Networks に相談する
シャドーAI時代の新常識：AIセキュリティプラットフォームの選び方 | 今すぐ見る
