RIKENTOKYOはオフィス環境と仕組みのご提案で「VPNを入れているから大丈夫」と思っていませんか。クラウド利用やテレワークが当たり前になった今、VPNだけでは防ぎきれない攻撃が増えています。 ゼロトラストは大企業だけのものではありません。情シス不在の中小企業でも、Microsoft 365をすでに使っていれば、追加投資を最小限に抑えながら始められます。 この記事では、ゼロトラストとVPNの違い、検討すべき具体的な3つのタイミング、段階的な進め方、RIKEN TOKYOが支援できることを解説します。
ゼロトラストとは、「誰も自動的には信頼しない（Zero Trust）」を前提にしたセキュリティモデルです。 社内ネットワークからのアクセスも、社外からのアクセスも、同じように「本当に正しいユーザーか」「端末は安全か」を都度確認します。
従来のセキュリティは「社内は安全、社外は危険」という前提で設計されていました。ファイアウォールで外部をブロックし、社内に入れたユーザーは信頼するという考え方です。
VPNはこの境界型セキュリティの一部です。社外から社内ネットワークへ暗号化された通信経路を作り、接続後は社内にいるのと同じようにアクセスを許可します。
| 比較項目 | VPN（境界型） | ゼロトラスト |
|---|---|---|
| セキュリティの前提 | 社内ネットワーク＝安全 | 社内外を問わず常に検証 |
| 認証のタイミング | 接続時のみ | アクセスごとに都度検証 |
| アクセス範囲 | 社内全体にアクセス可能 | 必要なリソースのみ許可 |
| クラウドとの相性 | 社内経由で速度低下が起きやすい | クラウドに直接接続できる |
| 万が一侵入された場合 | 社内全体が危険にさらされる | 被害を最小範囲に抑えやすい |
VPNが抱える最大の問題は、「一度接続されると社内全体にアクセスできてしまう」点です。もし認証情報（IDとパスワード）が漏えいした場合、攻撃者が正規ユーザーとして社内のあらゆるシステムにアクセスできてしまいます。
IPAが発表した「情報セキュリティ10大脅威 2026（組織編）」では、サプライチェーン攻撃が2位にランクインしています。セキュリティが手薄な取引先（多くは中小企業）を経由して大企業に侵入する手口が一般化しており、中小企業のセキュリティ対策は取引継続の条件になりつつあります。
また、クラウドサービスの利用が増えると、社内ネットワーク経由でアクセスするVPNの構造上、通信速度が低下しやすくなります。Microsoft 365やSharePointにVPN経由でアクセスすると遅いと感じている場合、これが原因の一つです。
RIKEN TOKYOの視点 RIKEN TOKYO自身がWeWork丸の内への移転を経験しています。オフィスを固定席からABW（Activity Based Working）に切り替えたとき、VPN接続が前提の社内システムがテレワーク環境と相性が悪く、Microsoft 365を使った認証基盤の整備に取り組みました。「社内ネットワークありき」の設計は、オフィス移転やフリーアドレス化の際にも見直しが必要になります。
ゼロトラストはいきなり全社で導入するものではありません。以下のいずれかのタイミングが来たら、検討を始めるサインです。
テレワーク利用者が増えると、VPN機器やサーバーに負荷が集中し、通信速度が落ちたり、接続が不安定になったりします。帯域を増やすための機器更新は費用がかかる上、根本的な解決にはなりません。
このタイミングで、VPNを段階的にゼロトラストに置き換えていく設計を検討することが現実的です。
Microsoft 365、SharePoint、OneDriveなどをメインで使っている場合、わざわざ社内ネットワーク経由でアクセスする必要はありません。クラウドに直接アクセスしつつ、Entra IDで認証・アクセス制御を管理する構成がゼロトラストの基本的な入口です。
「クラウドを使っているのに、VPN接続しないと使えないシステムが残っている」という状態は、ゼロトラストへの移行を検討するサインです。
大手企業のサプライチェーン対策が強化される中、取引先の中小企業に対してもセキュリティ基準の提示を求めるケースが増えています。「ISMS取得を求められた」「セキュリティチェックシートへの回答を依頼された」という状況が出てきたら、ゼロトラストの考え方に基づいた対策整理が必要です。
まずは現状のセキュリティ体制を確認したい方へ 「VPNで問題はないと思うが、実際どこが弱点かわからない」という場合、現状整理から始めるのが遠回りに見えて最も確実です。 RIKEN TOKYOでは、現状の困りごとを伺ったうえで、無理のない進め方をご提案します。 無料相談をする
ゼロトラストは「完成形を一気に目指すもの」ではありません。リスクが高い部分から順番に対策し、少しずつ範囲を広げていくのが現実的です。
最初に取り組むべきはMFAの設定です。Microsoft 365を使っている場合、Entra IDの設定変更だけで追加コストなしに有効にできます。IDとパスワードだけでなく、スマートフォンへの通知や認証アプリを使って本人確認を行う仕組みです。
MFAを導入するだけで、パスワード漏えいによる不正アクセスの大部分を防ぐことができます。
次に、会社で使っているPCやスマートフォンの状態を一元管理します。Intuneを使うと、OSのバージョン、セキュリティソフトの状態、会社ポリシーへの準拠状況を確認でき、準拠していない端末からのアクセスを制限できます。
「誰がどの端末からアクセスしているかわからない」という状態を解消することが、ゼロトラストの入口です。
社内のファイルサーバーやSharePointで「全員がすべてのフォルダを見られる」設定になっていませんか。ゼロトラストでは、業務に必要な人だけに必要なリソースへのアクセスを許可します。
権限の棚卸しと最小権限化は、情シス担当者が不在の中小企業でも取り組めます。
MFAとデバイス管理で入口を固めた後、UTM（統合脅威管理）とEDR（Endpoint Detection and Response）を組み合わせてネットワークと端末の監視体制を整えます。
UTMは不審な通信をネットワーク上でブロックし、EDRは端末上の不審な挙動をリアルタイムで検知・隔離します。どちらか一方だけでなく、二層で守る体制がゼロトラストの考え方に近い構成です。
ゼロトラストと聞くと「新しいシステムを一から導入しなければいけない」と感じるかもしれません。しかし、Microsoft 365を使っている企業はすでに入口を持っています。
| ゼロトラストの要素 | Microsoft 365で使えるツール |
|---|---|
| ID・認証管理 | Microsoft Entra ID（旧Azure AD） |
| デバイス管理 | Microsoft Intune |
| エンドポイント保護 | Microsoft Defender for Endpoint |
| アクセスポリシー | 条件付きアクセス |
| ログ・監視 | Microsoft Sentinel |
Microsoft 365 Business Premiumにアップグレードすることで、Intune・Defender for Endpoint・Entra IDの主要機能がセットで使えます。複数のツールをバラバラに導入するよりも、管理の一元化とコスト面でメリットがあります。
RIKEN TOKYOの視点 RIKEN TOKYOでは、「Microsoft 365を導入したけれどメールとTeamsしか使っていない」という相談を多く受けます。実際には、すでに契約しているライセンスの中にEntra IDやIntuneの基本機能が含まれているケースがあります。追加投資なしに始められるゼロトラストの第一歩がある場合も多いため、まず現状のライセンス確認から始めることをお勧めしています。
Microsoft 365の活用状況を確認したい方は、こちらの資料もご参照ください。 Microsoft 365 活用度チェックを確認する
RIKEN TOKYOでは、ゼロトラストに関する現状整理から、Microsoft 365・UTM・EDRを組み合わせた段階的な導入支援まで対応しています。
| 支援内容 | 具体例 |
|---|---|
| 現状の確認 | セキュリティ体制の棚卸し、VPNの利用状況確認 |
| Microsoft 365の整備 | Entra ID・MFA・Intune・Defenderの設定支援 |
| ネットワーク対策 | FortiGate・SAXA SSシリーズなどUTMの導入・設定 |
| エンドポイント保護 | ESET・WithSecureなどEDRの導入支援 |
| バックアップ | RIKEN Cyber Protection BACKUPによるデータ保護 |
| 運用サポート | 導入後の定期確認・見直し提案 |
情シス担当者が不在または兼任の中小企業でも、現状の整理から相談できます。「何から始めるべきかわからない」という段階からお声がけください。
また、ゼロトラストはセキュリティだけでなく、オフィス移転やフリーアドレス化とセットで見直すと効率的です。オフィス環境の変化に合わせてネットワーク・認証基盤を整えたい場合も、RIKEN TOKYOにご相談ください。
詳細は、セキュリティに関する課題ページやMicrosoft & DXページもご覧ください。
この記事で解説したポイントを整理します。
ゼロトラストの導入を検討している方、現状のセキュリティ体制に不安がある方は、まずRIKEN TOKYOにご相談ください。現状の困りごとを伺ったうえで、無理のない進め方をご提案します。
概算費用を確認したい方は、スピードお見積りもご活用ください。
必ずしもどちらかを選ぶものではありません。多くの中小企業では、既存のVPNを残しながら、多要素認証やデバイス管理をゼロトラストの考え方で段階的に整備していくのが現実的な進め方です。一気に全面移行するのではなく、リスクが高い部分から順に改善していくことをお勧めしています。
始められます。Microsoft 365を使っていない場合でも、UTMの導入、EDRによる端末保護、MFAの設定など、ゼロトラストの考え方に基づいた対策を段階的に進めることができます。まずは現状のセキュリティ体制を確認し、優先順位を整理することから始めてください。
対応できます。RIKEN TOKYOでは、情シス不在・兼任の中小企業でも相談しやすい体制で支援しています。「何から始めるべきかわからない」という段階からお声がけいただき、現状の整理から導入・運用まで段階的にサポートします。
導入する範囲や使用するツール、現在のMicrosoft 365のライセンスによって異なります。すでにMicrosoft 365 Business Premiumを使っている場合、追加コストを最小限に抑えながら始められるケースもあります。概算費用を確認したい場合は、スピードお見積りフォームからご相談ください。
可能です。オフィス移転やフリーアドレス化のタイミングは、ネットワーク・認証基盤をゼロトラストの考え方に合わせて見直す絶好の機会です。RIKEN TOKYOでは、オフィス環境の設計とIT環境の整備をワンストップで相談できます。
