ゼロトラスト、ZTA、ZTNA、SASEの関係性をあらためて整理する
セキュリティ関連の会議やベンダーの提案書で、「ゼロトラスト」「ZTA」「ZTNA」「SASE」という言葉が、同じ文脈で次々に出てくることはありませんか。
「うちはゼロトラスト化してます」
「弊社はゼロトラスト使ってます」
「将来うちはゼロトラストネットワーク化します」
「SASEはゼロトラストの一部ですよね」
これらの表現には、少し注意が必要です。
「ゼロトラスト化しています」という場合、それは思想や方針の話なのか、ZTNAなどの特定製品を導入した話なのかが曖昧です。「ゼロトラストを使っています」という表現も、ゼロトラストが製品ではなく、設計思想や原則であることを踏まえると、厳密には適切とはいえません。
また、SASEとゼロトラストも同義ではありません。ゼロトラストは設計思想であり、SASEはネットワークとセキュリティをクラウドで統合するアーキテクチャです。SASEは、ゼロトラストの実現に活用される代表的な手段の一つといえます。
正直に言うと、この記事を書こうと思ったのも、前職の情シス時代に私自身がこのあたりの言葉をかなり曖昧に使っていたことがきっかけです。当時は、多少言葉が雑でも「まあ雰囲気で伝わればいいか」で済んでいた場面が多かったように思います。
ただ、今は事情が違います。会議は当たり前のように録音され、議事録はAIが自動で文字起こしし、場合によってはそのまま翻訳までされる時代です。その場限りの空気で誤魔化せていた曖昧な言い回しが、テキストとして残り、社内外に共有され、海外拠点向けにそのまま翻訳されて渡ってしまうこともあります。「なんとなく伝わればいい」が、以前より通用しにくくなっている、というのが正直な実感です。
1.各種ワードの整理
①ゼロトラスト（Zero Trust）
「社内ネットワークだから安全」「一度認証したら信頼し続ける」という前提を捨て、すべてのアクセスを都度検証するという考え方そのものを指します。製品名でも技術名でもなく、あくまで「思想・設計原則」です。NIST SP 800-207が示す定義がよく引用されますが、要は「暗黙の信頼を置かない」という一点に尽きます。
②ZTA（Zero Trust Architecture）
ZTA（Zero Trust Architecture）は、ゼロトラストの考え方を実現するためのアーキテクチャです。NIST SP 800-207がこの言葉の代表的な定義元で、ポリシーエンジン・ポリシー管理者・ポリシー実施ポイントという3つのコンポーネントを軸に、「誰が・何に・どういう条件でアクセスできるか」を継続的に判定する仕組みとして描かれています。ZTNAが「アクセス制御という一機能」であるのに対し、ZTAは「組織全体の設計思想を体現した構成」という、より広い粒度の言葉です。
③ZTNA（Zero Trust Network Access）
ゼロトラストの思想を実装するためのアクセス制御の仕組みです。従来型VPNでは、接続後に社内ネットワークへのアクセス範囲が広くなりやすい一方、ZTNAではアプリケーション単位でアクセスを制御します。VPN代替の文脈で語られることが多い領域です。
④SASE（Secure Access Service Edge）
ZTNAやSWG（Secure Web Gateway）、CASB、FWaaSなど、複数のセキュリティ機能をクラウド上で束ねて提供するアーキテクチャの総称です。ゼロトラストを実現する手段の一つとして、SASEというパッケージが存在する、という位置づけになります。
まとめると
ゼロトラスト（Zero Trust）は暗黙の信頼を置かず、継続的に検証するという設計思想。
ZTA（Zero Trust Architecture）はゼロトラストを実現するためのアーキテクチャ。
ZTNA（Zero Trust Network Access）はアプリケーション単位でアクセスを制御する仕組み。
SASE（Secure Access Service Edge）はネットワーク機能とセキュリティ機能をクラウドで統合して提供するアーキテクチャ。
2. 定義はわかった。でも、結局どういう時に使うの？
ここまで読んでも、「言葉遊びみたいで、結局どう使い分ければいいのかわからない」という感覚は残ると思います。実際のところ、この4つは話す相手や場面によって使い分けられているという側面が大きいです。
あくまで以下の内容は、1つのサンプルとしてとらえてください。
①ゼロトラスト：方針・戦略を語るとき
経営層への説明や、社内方針を宣言するときに使われます。
「当社はゼロトラストの考え方に基づいて、セキュリティ方針を見直します」
具体的な製品やシステムの話をする前の、「そもそも何を目指すか」を語るときに使う言葉です。
②ZTA：設計・アーキテクチャを議論するとき
情シスやコンサルが「全体構成をどう組むか」を話すとき、あるいは設計書や監査対応の文書の中で使われます。
「今回のシステム更改では、ZTAに沿ってネットワーク設計を見直します」
NIST SP 800-207などの枠組み・フレームワークを引き合いに出すときに登場する言葉です。日常会話よりも文書のほうで見かけることが多く、実際の打ち合わせでは「ZTAでいきましょう」よりも「ゼロトラストの設計に沿って」のほうが自然に使われている印象がありますね。
③ZTNA：具体的な製品・機能の話をするとき
VPNの代替を検討する場面が典型です。
「リモートアクセスをVPNからZTNAに切り替えます」「NetskopeのZTNA機能を使って…」
4つの言葉の中で、実務では一番日常的に使われる言葉です。製品名・機能名とセットで語られることが多く、ベンダーの提案書にも頻出します。
ちなみにNetskopeを例に出しましたが、正確にはNPA（Netskope Private Access）という機能名がこれにあたります。
④SASE：複数機能をまとめて導入・提案するとき
中期IT戦略やロードマップを説明する場面
「今後3年でSASE化を進め、拠点ネットワークとセキュリティを統合していきます」というように、複数年にわたる取り組み全体の方向性を示す言葉として使われます。
ネットワーク刷新を議論する場面
レガシーVPNからの脱却を検討する場面で、「SD-WANとセキュリティ機能を統合したSASEへ移行する」という形で、ネットワーク側の話題としても頻繁に登場します。ゼロトラストがセキュリティ寄りの文脈で語られやすいのに対し、SASEはネットワークチームとセキュリティチーム双方の会話に出てくる、という違いがあります。
3.再度、ゼロトラストって何ですか？
私もこの記事を書いているときに上司に「ゼロトラストって何ですか？」と聞かれました。少し迷ったあとに「概念です」と伝えたところ、正解だったのですが、ただ概念ですと伝えても中身がありません。
そのため、以下で覚えました。
ゼロトラストは、次の3原則からなる概念です。
すべてのアクセスを検証する（信頼を前提としない）
最小権限を徹底する（必要な範囲だけ許可する）
継続的に確認し続ける（一度の認証で終わらせない）
4.AI時代においても、ゼロトラストは有効なのか？
結論から言えば、AI時代においてもゼロトラストの重要性は増しています。
一方で、AIの進化により、本人確認や認証情報を狙う攻撃はより巧妙かつ高速になっています。音声クローンを悪用したなりすましや、生成AIを活用した自然なフィッシングメールなどにより、「本人確認の仕組みそのものが突破される」が突破されるリスクも高まっています。
また、攻撃の速度と量が増加するなか、人手だけでログを確認し、異常を検知することには限界があります。
そのため、ゼロトラストに加え、侵害や障害の発生を前提として事業継続と迅速な復旧を目指す「サイバーレジリエンス」の考え方が、より重要になっています。
ゼロトラストに代わる新しい仕組みはあるの？
「ゼロトラストはもう古い、次はこれ」という決定的な代替概念が確立されているわけではありません。
新しい仕組みというのはありませんが、新しい仕組みというよりは、ゼロトラストと組み合わせることで、さらに強固にするための考え方があります。それが「サイバーレジリエンス」です。
ゼロトラストは、「侵入させない」「侵入されても被害を広げない」ことに重点を置いた考え方です。一方でサイバーレジリエンスは、「どれだけ対策しても、いつかは突破されることがある」という前提に立ち、突破されたあとも事業を止めずに、いち早く元に戻すことに重点を置いた考え方です。
つまり役割分担はこうなります。
ゼロトラスト：アクセスを継続的に検証し、侵害時にも被害の拡大を抑える「守り」。
サイバーレジリエンス：侵害や障害が起きても事業を継続し、迅速に復旧するための「回復力」。
AIによって攻撃のスピードと精度が上がっている以上、ゼロトラストだけで100%防ぎきることは、正直なところ難しくなってきています。だからこそ、「防ぎきれなかった場合にどう事業を継続し、どう早く復旧するか」まで含めてセットで考える組織が増えています。
まとめると、ゼロトラストという考え方そのものは変わっていません。変わったのは、「ゼロトラストだけで安心、ではなく、突破される前提のサイバーレジリエンスと組み合わせて初めて強固になる」という認識が広がってきている、という点です。
筆者紹介
崎山 祐作（Sakiyama Yusaku） 経歴は、情報システム部門→工場レーン業務→情報システム部門→SIerへ。
興味は、EDR、ログ分析、AWS設計・構築、
Apple製品全般、生成AI活用など。
#ゼロトラスト #ゼロトラストセキュリティ #ZTNA #SASE #サイバーセキュリティ #サイバーレジリエンス #情報セキュリティ #丸紅IDIGIO #IDIGIO #IT #セキュリティ #生成AI #AIセキュリティ #AI時代
