はじめに
こんにちは！kenkenです。
気づけば10月も終わりに近づき、今年も残すところ2か月ちょっととなりました。寒さが深まり、クローゼットから綿半纏を引っ張り出しました。毎年のことながら、1年が過ぎるのはあっという間ですね。
前回はアクセス・権限まわりの略語を整理しました。といっても、打ち合わせで分からない略語はまだまだあります。ID・権限の言葉が分かってきたとしても、通信やネットワークの話になれば、知らない言葉はまた出てきます。
「そろそろVPNをやめたいんですよね」「ゼロトラスト前提で設計しましょう」「拠点の機器、SASEでまとめられませんか」
このあたりは、考え方の名前・製品カテゴリの名前・その中身の部品の名前が、同じ調子で会話に並びます。聞いているだけでは、何と何が同じ層の話なのか分かりませんでした。
今回はそのネットワーク・通信まわりで出てくる言葉を7つ（ゼロトラスト／VPN／ZTNA／SWG／FWaaS／SASE／SSE）、それぞれ「何か」から自分の言葉で整理します。前回と同じく、会議やドキュメントで出てきたときの手がかりになれば、という記事です。
読む順番として、以下の「役割」で並べると見通しが良くなります。
- 考え方そのもの → ゼロトラスト（ネットワーク上の場所を信頼の根拠にしない、という設計の原則）
- 外から社内システムへのつなぎ方 → VPN・ZTNA（離れた場所から目的のシステムに届くまでの経路）
- 社内から外へ出る通信の検査 → SWG・FWaaS（どの通信を通すか、どこで見るか）
- まとめ方の名前 → SASE・SSE（上の機能を、どこまでまとめてクラウドから提供するか）
それでは、1つずつ見ていきます。
前提用語
略語に入る前に、後の説明で使う言葉を2つだけ押さえておきます。
- 境界型防御
- 社内ネットワークとその外側を分けて、その境目にファイアウォールなどの防御を集める考え方です。ペリメータ型と呼ばれることもあります。
- 「内側」は本社や拠点のLANとデータセンターを指し、VPNでつないだ在宅の端末も内側として扱われます。「外側」はインターネットだけでなく、SaaSやクラウド上に置いた自社のシステムも含みます。内側に入った通信は基本的に信頼する、という前提で成り立っています。
- その前提を崩したのが、クラウド化とリモートアクセスの広がりです。メールやファイル共有はSaaS（Microsoft 365やGoogle Workspaceなど）へ移り、自社で動かしていた業務システムもクラウド上に置かれるようになりました。守りたいものが、社内ネットワークの中に残らなくなったわけです。
- 働く側も、在宅勤務や外出先からの利用が日常になりました。この2つが重なって、「内側にいるかどうか」で信頼を決める前提は置きにくくなっています。この記事に出てくる言葉は、ほぼすべてそこから出てきています。
- プロキシ
- 利用者と接続先のあいだに立って、通信を中継する仕組みのこと。利用者を直接つながせず、いったん預かって代わりに接続しにいきます。
- あいだに立つことで、通信を見る場所と止める場所を1か所に集められます。目的は主に次の4つです。
- 行き先を制限する：業務に関係のないサイトや、危険とされるサイトへの接続を止める
- 中身を検査する：マルウェアや、外に出してはいけない情報が含まれていないかを見る
- 記録を残す：誰がいつどこへアクセスしたかを残し、事故の調査や監査で使う
- 出口をまとめる：社員の通信が同じ出口から出ていくので、SaaS側で「会社からのアクセスだけ許可」という制限をかけられる
- 後で出てくるSWGは、この「あいだに立つ」役割をクラウド側に置いたもの、と捉えると輪郭がつかみやすくなります。
考え方そのもの：ゼロトラスト
- ゼロトラスト（Zero Trust）
- ネットワークはすでに侵害されているとみなしたうえで、アクセスのたびに、必要最小限の権限で許可・拒否を判断していくための考え方の集まりです。米国のNISTがNIST SP 800-207（2020年8月公開）で整理しており、この分野の一次ソースとしてよく参照されます。同文書では、その考え方に沿って立てた企業の計画そのものをゼロトラストアーキテクチャ（ZTA、Zero Trust Architecture）と呼び分けています。
- 出てくる場面：ID基盤やネットワークの構成を見直すときの、設計方針として登場します。「ゼロトラストで行きましょう」は、多くの場合「社内ネットワークにいるかどうかで信頼を決めるのをやめましょう」という意味で使われています。
押さえておきたいのは、ゼロトラストは製品でもアーキテクチャの型番でもなく、設計と運用の指針だという点です。NIST SP 800-207も、ゼロトラストは単一のアーキテクチャではなく、業務の流れ・システム設計・運用のための指針の集まりである、と明記しています。「ゼロトラスト製品を買う」という言い方は、厳密には成立しません。買えるのは、その考え方を実現するための部品のほうです。
もうひとつよく出会うのが「ゼロトラスト＝VPN廃止」という受け取り方です。VPNをやめること自体が目的だと理解されると、「まだVPNが残っているからゼロトラストではない」という話になってしまいます。NIST SP 800-207は、ほとんどの企業のインフラは当面のあいだ、ゼロトラストと境界型防御が混在したハイブリッドな状態で動くことになる、と書いています。段階的に移る前提が、一次ソースの側にも置かれているわけです。
外から社内システムへのつなぎ方：VPN・ZTNA
考え方の次は、実際に「離れた場所から社内のシステムへどうつなぐか」の話です。古典的な方式と、ゼロトラストの考え方を当てはめた方式を並べて見ます。
- VPN（Virtual Private Network、仮想プライベートネットワーク）
- インターネットのような公衆網の上に暗号化したトンネルを作り、離れた場所を社内ネットワークの延長として扱う仕組みです。NISTは、VPNによって企業は境界型のセキュリティを公衆網をまたいで広げられる、と説明しています（NIST SP 800-215）。
- 出てくる場面：在宅勤務からの社内システム利用や、拠点間の接続で登場します。今ある環境の前提として、ほぼ必ず名前が出てきます。
- 性格として、つながった利用者は「社内ネットワークに参加した」状態になります。アクセス可能な範囲をどこまで絞るかは、VPNの外側（ネットワークの分割やアクセス制御）で設計することになります。
- ZTNA（Zero Trust Network Access、ゼロトラストネットワークアクセス）
- ゼロトラストの考え方を、通信のつなぎ方に当てはめた方式です。NIST SP 800-215は、ゼロトラストを前提にしたときの通信の枠組みがZTNAである、と位置づけています。
- 利用者をネットワークに参加させるのではなく、許可された個々のアプリケーションに対して、その都度の判断でつなぐのが特徴です。つないだ先の網が見えないため、ほかのシステムへ横に移動されにくくなります。
- 出てくる場面：VPNの置き換えや併用の検討、業務委託・パートナーなど社外の人に一部のシステムだけ開けたいときに登場します。
⚠️ 混同しやすい語：ゼロトラスト と ZTNA
| 語 | 位置づけ |
|---|---|
| ゼロトラスト | 何を信頼の根拠にするかを決める考え方（設計原則）。製品として買うものではない |
| ZTNA | その考え方を接続のしかたに当てはめた方式。製品カテゴリの名前としても使われる |
「ZTNAを入れたのでゼロトラストになりました」とはなりません。ZTNAが受け持つのは通信経路の部分で、誰を確かめるか（認証）、何を許すか（認可）、端末の状態をどう見るか、といった残りの部分は別途必要になります。
⚠️ 混同しやすい語：VPN と ZTNA
| 語 | 外からアクセス可能な範囲 |
|---|---|
| VPN | 社内ネットワーク全体。使いたいシステムだけでなく、同じネットワーク上にある別のシステムにもアクセスできる。範囲を絞るにはネットワークの分割やアクセス制御が別に必要 |
| ZTNA | 許可されたアプリケーションだけ。同じネットワーク上にある別のシステムにはアクセスできない |
この範囲は、IDやパスワードが盗まれたときに、攻撃者がアクセスできる範囲でもあります。なお、アクセスした先のシステムを誰が使えて、何ができるかは、認証（誰かを確かめる）と認可（何を許すか）という、ネットワークとは別の観点で決まります。
実際の製品には中間的な作りのものもあるので、この表は代表的な考え方の違いとして捉えてください。会話で「VPNからZTNAへ」と言われたときは、外からアクセス可能な範囲を、ネットワーク全体から許可したアプリケーションだけに絞る話をしている、と受け取ると外しません。
社内から外へ出る通信の検査：SWG・FWaaS
VPN・ZTNAが「外から中へ入ってくる」経路の話だったのに対して、こちらは「中から外へ出ていく」通信の話です。社員がWebやSaaSを使うときの通信を、どこで検査して、何を通すかを決める機能になります。
- SWG（Secure Web Gateway、セキュアWebゲートウェイ）
- 利用者とインターネットのあいだに立って、Webへのアクセスをポリシーで検査・制御する仕組みです。NISTは、企業の利用者によるクラウドアプリケーションやオープンなWebへのアクセスを、ポリシーにもとづいて制御・統制するためのものと説明しています（NIST SP 800-215）。
- 出てくる場面：URLフィルタリングや、業務で許可していないSaaSの利用制限の文脈で登場します。前提用語で触れたプロキシの役割を、クラウド側で担うものと考えると位置づけがつかめます。
- FWaaS（Firewall as a Service、サービスとしてのファイアウォール）
- ファイアウォールの機能を、拠点に置く機器としてではなく、クラウドのサービスとして提供する形です。NIST SP 800-215は、次世代ファイアウォールの提供形態のひとつとしてFWaaSに触れています。※独立した用語定義を置いている一次ソースは見つけられなかったため、「ファイアウォールの提供形態を指す言葉」として押さえるのが無難です。
- 出てくる場面：拠点ごとに置いたファイアウォールを個別に運用せず、通信をクラウド側に集約したいときに登場します。拠点が多い組織ほど、機器の保守と設定の統一が課題になるためです。
⚠️ 混同しやすい語：SWG と FWaaS
| 語 | 主に見るもの |
|---|---|
| SWG | 利用者のWebアクセス。URLやSaaSのアプリケーション単位で制御する |
| FWaaS | Webに限らない通信全般。送信元・宛先やポートに加え、次世代ファイアウォールとして提供される場合はアプリケーション単位でも制御する |
役割が近く、製品によっては機能も重なるため、単体で比べると違いが見えにくい2つです。実務でも別々に選ぶというより、まとめて提供されているものから選ぶ形になります。その「まとめて」のほうに付いた名前が、次に見るSASEとSSEです。
まとめ方の名前：SASE・SSE
ここまでに出てきた機能を、どこまでまとめて提供するかを表す言葉です。どちらもGartnerが定義している枠組みの名前で、製品を分類する箱として使われます。
- SASE（サシー、Secure Access Service Edge、セキュアアクセスサービスエッジ）
- ネットワークの機能とセキュリティの機能を、クラウドから提供されるひとつのサービスとして束ねた枠組みです。Gartnerは、SD-WAN・SWG・CASB・次世代ファイアウォール（NGFW）・ZTNAといった機能を収束させたものと説明しています（Gartner）。
- 出てくる場面：拠点・在宅・クラウドが混在した構成で、拠点ごとの機器と個別のセキュリティ製品が増えすぎたときに、それらをまとめた形の名前として登場します。
- SSE（Security Service Edge、セキュリティサービスエッジ）
- SASEのうち、セキュリティ側だけを取り出したものです。Gartnerは、SSEをWeb・クラウドサービス・社内アプリケーションへのアクセスを安全にするSASEの一部分と説明しています（Gartner）。市場の定義では、利用者や端末、アプリケーションがどこにあってもそれらへのアクセスを安全にする、主にクラウドから提供される仕組みとしています（Gartner Peer Insights）。
- 出てくる場面：ネットワーク側（SD-WANなど）は含めず、セキュリティの機能だけを指したいときに登場します。SASEより狭い範囲を指す言葉として使われます。
ここまで見てきたZTNA・SWG・FWaaSは、SASE・SSEとして提供される製品に、機能としてまとめて組み込まれていることがあります。別々の製品として選ぶこともできますが、実際にはまとめて提供されていることが多い、という関係です。
⚠️ 混同しやすい語：SASE と SSE
| 語 | 範囲 |
|---|---|
| SASE | ネットワークの機能とセキュリティの機能の両方を束ねた枠組み |
| SSE | そのうちセキュリティの機能だけを取り出したもの |
並列の選択肢ではなく、SASEの中にSSEがある、という包含関係です。両方の言葉が出てきたら、ネットワーク側（回線や拠点間接続）まで含む話なのかを確認すると、どこまでを指しているかがはっきりします。
まとめ：7語のおさらい
ネットワーク・通信まわりでよく出る言葉を、1行ずつでおさらいします。困ったときはここだけ見返せば大丈夫です。
- ゼロトラスト：ネットワーク上の場所を信頼の根拠にせず、アクセスのたびに判断する設計の考え方
- VPN：公衆網の上に暗号化したトンネルを作り、離れた場所を社内ネットワークの延長として扱う仕組み
- ZTNA：ネットワークではなく、個々のアプリケーションに対してその都度つなぐ方式
- SWG：利用者のWebアクセスを、ポリシーで検査・制御する仕組み
- FWaaS：ファイアウォールの機能を、機器ではなくクラウドのサービスとして提供する形
- SASE：ネットワークとセキュリティの機能を、クラウドからまとめて提供する枠組み
- SSE：SASEのうち、セキュリティの機能だけを取り出したもの
とくに紛らわしい定番ペアだけ、区別を添えておきます。
ゼロトラスト ↔ ZTNA ＝ 考え方 ↔ その考え方で通信をつなぐ方式
VPN ↔ ZTNA ＝ 社内ネットワーク全体にアクセス可能 ↔ 許可したアプリにだけアクセス可能
SASE ↔ SSE ＝ ネットワークとセキュリティの両方 ↔ セキュリティだけ
ここが分かれば、ネットワークや通信の会話でつまずくことはかなり減ります。
このシリーズについて
この連載では、ID・セキュリティの略語を「守る対象」で3つの棚に分けて、順に整理していきます。今回は、Ⅱの「ネットワークと通信」の回でした。
| 棚 | 守る対象 | 扱う回 |
|---|---|---|
| Ⅰ. ID・アクセス管理 | 人と権限 | 認証の基礎・アクセス・権限 |
| Ⅱ. ネットワーク防御・境界／検知 | 通信と侵入 | ネットワークと通信（本記事）・今後の回 |
| Ⅲ. クラウド／デバイス統制 | 環境と端末 | 今後の回 |
次回も同じⅡの棚で、守りをすり抜けられたあとの話、検知と対応の言葉に進みます。
本記事の定義は、各標準・公式資料（NIST SP 800-207（ゼロトラスト）、NIST SP 800-215（ZTNA・SWG・SASE・VPN）、NIST用語集（VPN）、Gartner（SASE・SSE）、Gartner Peer Insights（SSEの定義）、Microsoft Learn（条件付きアクセス） ほか）に基づいています。
