ゼロトラストを実現するには専用製品が必要ですか？

必須ではありません。ゼロトラストは製品名ではなく、アクセス制御の原則と設計思想です。Microsoft 365やGoogle Workspaceの標準機能（MFA、条件付きアクセス、端末管理）だけでも、IDとデバイスの柱は実現できます。ZTNAやSASEといった製品は、5つの柱のうちネットワークの柱を担う一部品です。

5つの柱には決まった実装順序がありますか？

標準文書に定められた順序はありません。NIST SP 800-207は、業務プロセス・資産・データ・リスクを把握したうえでユースケース単位に段階的に移行する進め方を示しています。クラウド中心の一般的な中小企業では、費用対効果の観点からIDとデバイスから着手することを筆者は推奨しています。

SECURITY ACTIONを宣言すればゼロトラストに対応したことになりますか？

なりません。SECURITY ACTIONは情報セキュリティ対策に取り組むことを自己宣言する制度で、ゼロトラストの成熟度を認定するものではなく、両者に直接の対応関係もありません。IPAのガイドラインで基礎的な管理体制を整え、その先の設計にゼロトラストの枠組みを使う、という位置づけが適切です。

EDRやMDMを入れれば、デバイスの柱は完成ですか？

いいえ。デバイスの柱の要点は「端末の状態をIDと連携させてアクセス判断に使う」ことです。EDRやMDMを導入しただけで、条件付きアクセスなどと連動していなければ、端末の状態は把握できてもアクセス制御には反映されません。ツールの導入と、それを判断材料として使う設計はセットです。

セキュリティ 2026年9月19日（更新: 2026年9月19日）

中小企業のセキュリティ対策、どこから手をつけるか｜ゼロトラストの「5つの柱」で優先順位を決める

セキュリティ対策の項目を並べたチェックリストは数多くあります。しかし「どの領域から、なぜその順番で」という構造がないと、話題になった製品を都度検討する場当たり的な対応になりがちです。

本記事では、世界的に広く参照されているゼロトラストの枠組み（NIST SP 800-207、CISA Zero Trust Maturity Model）を使い、中小企業が取り組むべき領域と、筆者が推奨する着手順を整理します。ゼロトラストの基本的な考え方そのものはゼロトラストとは？「何も信頼しない」セキュリティモデルを中小企業向けにわかりやすく解説で解説しているので、本記事では「優先順位をどう決めるか」に絞ります。

結論：5つの柱と推奨する着手順

先に全体像を示します。ゼロトラストの実装領域は、ID・デバイス・ネットワーク・アプリケーション／ワークロード・データの5つの柱に整理されます。クラウドサービスを中心に使う一般的な中小企業に対して、筆者が推奨する着手順は次のとおりです。

順	柱	最初にやること	主に使うもの
1	ID	全アカウントにMFA、管理者はフィッシング耐性MFA、条件付きアクセス	Entra ID / Google Workspace の標準機能
2	デバイス	台帳整備、MDMで更新・暗号化を強制、準拠端末だけにアクセスを許可	Intune / Google エンドポイント管理、EDR
3	データ	保管場所の一本化、共有範囲の絞り込み、業務ネットワークから分離したバックアップ	OneDrive / SharePoint / Google ドライブ、バックアップ製品
4	ネットワーク	ネットワーク機器の更新、セグメント分離、メール認証（SPF/DKIM/DMARC）	既存のルーター・FW、DNS設定
5	アプリケーション	未承認SaaSの把握とSSO集約、初期設定の見直し、公開サーバーの脆弱性診断	SSO、各SaaSの管理画面
横断	可視化・自動化・ガバナンス	ログ集約、初動手順の文書化、棚卸しサイクル、教育	監査ログ、文書、訓練

ただし、バックアップが未整備であれば、データの柱をIDと同時、あるいは先に進めてください。 ランサムウェアで業務が止まる被害は、対策の順番を待ってくれません。

ゼロトラストは製品ではなく、設計の考え方

最初に押さえておきたいのは、ゼロトラストは特定の製品やサービスを指す言葉ではないということです。近年「これを導入すればゼロトラスト」という訴求を目にしますが、NIST SP 800-207の定義においてゼロトラストは、アクセス制御に関する原則の集合と、それを実現する**アーキテクチャ（設計思想）**です。単一の製品で完結するものではなく、ID・デバイス・ネットワーク・アプリケーション・データの各領域を横断して、組織全体の設計と運用を変えていく取り組みを指します。

ZTNA製品、SASE、EDR、IDaaSといったツールは、いずれもゼロトラストを構成する一部品です。どれか一つを入れても、他の領域が従来のままなら「ゼロトラストになった」とは言えません。逆に、既に使っているMicrosoft 365やGoogle Workspaceの標準機能だけでも、設計次第でゼロトラストの中核部分は実現できます。製品名ではなく、「自社のアクセス制御がどう設計されているか」で判断することが出発点です。

ゼロトラストの前提 ―「社内だから安全」をやめる

ゼロトラストの中核は、ネットワーク上の位置（社内LANかどうか）や端末の所有者を、信頼の根拠にしないことです。すべてのアクセスは、誰が・どの端末から・どんな状態で要求しているかをもとに、毎回判断します。

NIST SP 800-207では7つの基本原則（tenets）が示されていますが、中小企業向けに5点へ要約すると次のとおりです。

すべてのデータ源とコンピューティングサービスを保護対象として扱う
場所に関係なく、すべての通信を保護する
アクセスはセッションごとに、必要最小限で許可する
許可の判断は、IDと端末の状態を含む動的なポリシーで行う
すべての資産の状態を監視し、できるだけ多くの情報を集めて判断精度を上げる

これを実装段階に落とし込む整理として国際的に参照されているのが、米CISA（サイバーセキュリティ・インフラセキュリティ庁）のZero Trust Maturity Modelです。ID・デバイス・ネットワーク・アプリケーション／ワークロード・データの5つの柱と、それを横断する「可視化と分析」「自動化とオーケストレーション」「ガバナンス」の3領域で構成されます。5つの柱すべてに対して原則がどう適用されているかを問うのがゼロトラストであり、どれか一つの柱に製品を入れることではありません。

優先順位の考え方

5つの柱に、標準で定められた実装順序はありません。NIST SP 800-207が示すのは、業務プロセス・資産・データ・リスクを把握したうえで、ユースケース単位で段階的に移行するという進め方です。

そのうえで、クラウドサービスを中心に利用する一般的な中小企業では、IDとデバイスから着手することを筆者は推奨します。理由は3つあります。

攻撃の入口がIDだから。 侵害の多くは、フィッシングやパスワード漏えいによる正規IDの窃取から始まります。ここが崩れると、他の柱の対策は迂回されます
既存基盤の標準機能で実現できるから。 Microsoft 365 Business PremiumやGoogle Workspaceの上位プランには、MFA・条件付きアクセス・端末管理が含まれています。追加購入なしで始められる領域です
後の柱の判断材料になるから。 ZTNAもデータの共有制御も、「誰が・どの端末から」が分からなければ判断できません。IDとデバイスは他の柱の前提条件です

ただし前述のとおり、バックアップが未整備であれば、データ保護をID・デバイスと同時、あるいは先に進めるべき場合もあります。いずれにしても、新しい製品を買う前に、今ある基盤の設定を見直すところから始まります。

柱1：ID（アイデンティティ）

ゼロトラストの起点です。攻撃の多くは正規IDの窃取から始まるため、ここが崩れると他の対策は機能しません。

原則としてすべての利用者アカウントに多要素認証（MFA）を適用し、特に管理者にはフィッシング耐性のあるMFA（パスキー・FIDO2）を優先する
サービスアカウントは対話型ログインを禁止し、認証情報を安全に管理する
IDを一元管理し、各SaaSをSSOで連携する（Entra ID、Google Workspaceなど）
条件付きアクセスを設定し、端末の状態・場所・リスクに応じてアクセスを制御する
入退社・異動に連動したアカウントのライフサイクル管理を行う
管理者権限を分離し、必要なときだけ付与する

「毎回のアクセスを動的に判断する」という原則は、この条件付きアクセスによって具体化されます。MFAの認証手段の選び方はMicrosoft 365のMFA認証手段を比較を参照してください。

柱2：デバイス

「どの端末から」を判断できる状態を作ります。すべての資産の完全性とセキュリティ状態を監視することが原則です。管理外端末を一律に禁止するのではなく、無条件に信頼せず、アクセス拒否・Web版のみの利用・ダウンロード禁止など、端末の状態に応じて制御を変えるのが基本です。

業務端末を台帳で把握し、MDM/EMM（Intune、Google エンドポイント管理など）で一元管理する
OS・ソフトウェアの更新を強制し、暗号化とロックを標準にする
EDRを全端末に導入し、異常挙動の検知と隔離ができるようにする
管理された端末（準拠端末）とそれ以外で、アクセスできる範囲を分ける

IDとデバイスを連携させることは、中小企業がゼロトラスト型のアクセス制御を始めるうえで重要な基盤になります。ただし、EDRを入れただけ、MDMを入れただけでは、この連携は成立しません。 端末の準拠状態を条件付きアクセスの判断材料として使う設定まで含めて、初めてデバイスの柱が機能します。

柱3：ネットワーク・通信

境界防御をやめるのであって、ネットワークを軽視するわけではありません。「場所に関係なくすべての通信を保護する」が原則です。

VPN機器・ルーター・ファイアウォールのファームウェアを最新に保つ
社内ネットワークを業務用・ゲスト用・IoT機器用などに分離する（ネットワークセグメンテーション）
メールのなりすまし対策（SPF/DKIM/DMARC）と添付・URLの検査
リモートアクセスは既存VPNのリスクと用途を評価し、必要に応じてリソース単位で制御できるZTNAへの移行または併用を検討する

※メール認証は厳密にはネットワーク分離とは別の対策ですが、中小企業で優先度の高い通信保護としてここに含めています。

ZTNA製品は「ゼロトラスト」の名を冠していますが、位置づけはこの柱の一部品です。IDとデバイスの柱が整っていなければ、ZTNAを入れても判断材料がなく、効果は限定的です。

柱4：アプリケーション／ワークロード

クラウドサービスや社内システムそのものを保護対象とします。中小企業ではSaaSの設定管理が中心です。

未承認のSaaS（シャドーIT）を把握し、利用ルールの整備とSSO配下への集約を進める
各サービスのセキュリティ設定を確認し、初期設定のまま運用しない
外部公開しているサーバー・サービスを把握し、脆弱性診断を受ける

柱5：データ

守る対象そのものです。ランサムウェアは中小企業にも業務停止をもたらし得る重大な脅威であり、その対策の本丸はここにあります。

データの保管場所を決め、個人PCやUSBメモリに散在させない
共有範囲を「必要な人だけ」に絞り、誰でも見られる共有領域をなくす
バックアップは3-2-1ルールを基本に、業務ネットワークから分離したオフラインまたは書き換え不能（イミュータブル）な形で保持する
定期的に復元テストを行い、復旧にかかる時間も確認する
機密度に応じたラベル付けと、外部共有の制御を段階的に導入する

Microsoft 365のデータは既定では「削除したら一定期間で消える」仕組みであり、ランサムウェアや誤操作からの復旧を保証するものではありません。詳しくはMicrosoft 365のバックアップ戦略を参照してください。

横断領域：可視化と分析・自動化とオーケストレーション・ガバナンス

5つの柱を機能させる土台です。できるだけ多くの情報を集め、セキュリティ態勢の改善に使うことが原則であり、ログの集約と分析はゼロトラストの必須要素です。

ID・端末・クラウドのログを集約し、異常の検知と事後追跡に使える状態にする
インシデント時の初動手順（誰に連絡し、何を止めるか）を文書化する
資産・アカウント・権限の棚卸しを定期サイクルに組み込む
従業員教育と標的型メール訓練を継続する
取引先・委託先のセキュリティ水準を確認し、自社の状況を説明できるようにする

段階的に進める ― 成熟度の考え方

ゼロトラストは製品の導入で完成するものではなく、CISAのモデルでは各柱を「従来型（Traditional）→ 初期（Initial）→ 発展（Advanced）→ 最適化（Optimal）」の4段階で評価しながら引き上げていく、継続的な取り組みとして位置づけられています。

中小企業がまず目指す現実的な到達点は、MFA・端末管理・バックアップの分離・主要ログの保存など、重大リスクを抑える基礎対策を各領域で整えることです。これは成熟度を厳密に判定したものではなく、実務上の目安です。

国内での入口としては、IPA「中小企業の情報セキュリティ対策ガイドライン」とSECURITY ACTIONを活用できます。ただし、SECURITY ACTIONはゼロトラストの成熟度を認定する制度ではなく、両者に直接の対応関係はありません。自社診断と情報セキュリティ基本方針の策定を通じて基礎的な管理体制を整え、その先の設計にゼロトラストの枠組みを使う、という位置づけが適切です。

「この製品を入れればゼロトラスト」と言われたら

営業資料やベンダーの提案で「ゼロトラスト対応」「ゼロトラストを実現」という言葉を見たときは、次の2つを問い直してください。

その製品は5つの柱のどこを担うのか。 ZTNAならネットワーク、EDRならデバイス、IDaaSならIDの一部です。「全部」と答える製品はありません
他の柱とどう連動するのか。 端末の状態をIDの判断に渡せるか、ログを集約先に送れるか。連動しない製品は、その柱の中でも孤立します

この問いに答えられる設計を自社が持っていれば、新しい製品が出てきても、自社にとっての位置づけを判断できます。逆に、この問いに答えられない提案は、製品を売るための「ゼロトラスト」である可能性が高いといえます。

まとめ

ゼロトラストは製品ではなく、アクセス制御の原則と設計思想。NIST SP 800-207が定義し、CISAが5つの柱と3つの横断領域に整理している
5つの柱に標準の実装順序はないが、クラウド中心の中小企業はIDとデバイスから着手するのが費用対効果が高い
バックアップが未整備なら、データの柱を同時か先に。ランサムウェア対策は順番を待たない
IDの要は全員MFA＋管理者はフィッシング耐性MFA＋条件付きアクセス。デバイスの要は準拠端末の状態をアクセス判断に使うこと
EDR・MDM・ZTNAは柱の一部品。入れただけでは連携せず、設計が必要
SECURITY ACTIONはゼロトラストの認定ではない。IPAガイドラインで基礎を固め、その先の設計にゼロトラストを使う
「ゼロトラスト対応製品」の提案には、どの柱を担い、他の柱とどう連動するかを問い返す

中小企業のセキュリティ対策は、個別の製品選びより「どの柱をどの順に固めるか」の設計が成否を分けます。この構造を持っていれば、新しい脅威が出てきても「どの柱の話か」で判断でき、場当たり的な対応から抜け出せます。

自社がどの柱までできているかを整理したい場合は、情シス365のIT環境診断で、5つの柱に沿った現状の棚卸しと優先順位付きのロードマップをお渡ししています。対策の実装まで任せたい場合はセキュリティ運用支援で対応します。「どこから手をつけるか」の整理だけでも無料相談でお受けしています。

参考文献

NIST, “SP 800-207 Zero Trust Architecture” (2020) https://doi.org/10.6028/NIST.SP.800-207
CISA, “Zero Trust Maturity Model Version 2.0” (2023) https://www.cisa.gov/zero-trust-maturity-model
IPA「中小企業の情報セキュリティ対策ガイドライン」第3.1版 https://www.ipa.go.jp/security/guide/sme/about.html
IPA「SECURITY ACTION」制度 https://www.ipa.go.jp/security/security-action/