--- title: "ゼロトラストの考え方と、中小企業の始め方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/ description: "ゼロトラストとは、社内のネットワークの中も安全とは限らないと考え、アクセスのたびに利用者と端末を確かめて必要な分だけ許す考え方です。境界で守る従来の考え方との違いと、IDの管理・端末・記録から段階的に始める中小企業の進め方を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # ゼロトラストの考え方と、中小企業の始め方 ゼロトラストとは、社内のネットワークの中も安全とは限らないと考え、アクセスのたびに利用者と端末を確かめて必要な分だけ許す考え方です。境界で守る従来の考え方との違いと、IDの管理・端末・記録から段階的に始める中小企業の進め方を説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - ゼロトラストは、境界の内部が侵害されることも想定し、要求ごとに必要最小限の権限でアクセスを制御する考え方です。 - デジタル庁の方針は、ゼロトラストが境界型の対策を否定するものではなく、それを含めて広げる考え方だと説明しています。 - 中小企業は、IDの一本化と多要素認証、端末の把握、記録の確認から始め、製品を一度にそろえるより段階的に進めると取り組みやすくなります。 ゼロトラストとは、社内のネットワークの中にいるから安全だとは考えず、アクセスのたびに、誰が、どの端末から、何に触れようとしているかを確かめ、必要な分だけを許す考え方です。特定の製品の名前ではなく、守り方の考え方を指します。中小企業でも、IDの管理、端末の把握、記録の確認といった基本から段階的に取り入れることができます。 ## 境界で守る考え方と、何が違うのですか 境界で守る考え方（境界型）は、社内と社外の間に境目を設け、外からの攻撃を境目で防ぐことを前提にしています。ゼロトラストは、境目の内側も侵害されることがあると考え、内側でもアクセスのたびに確かめる点が違います。 デジタル庁の「ゼロトラストアーキテクチャ適用方針」（2022年6月30日）は、境界型の考え方を、境界で内外を遮断し、内部には信頼できるものだけがいることを前提とするものと整理しています。そのうえで、ゼロトラストを、境界の内部が侵害されることも想定し、要求ごとに必要最小限の権限でアクセスを制御する考え方としています。あわせて、ゼロトラストは境界型やネットワークでの対策を否定するものではなく、それらを含めて広げる考え方だと説明しています。 出典：[ゼロトラストアーキテクチャ適用方針（デジタル庁、DS-210、2022年6月30日）](https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/5efa5c3b/20220630_resources_standard_guidelines_guidelines_04.pdf) 境界型とゼロトラストの違い（デジタル庁の方針の整理） - **境界型**：境界で内外を遮断し、内部には信頼できるものだけがいることを前提とする - **ゼロトラスト**：境界の内部が侵害されることも想定し、**要求ごとに必要最小限の権限**でアクセスを制御する ゼロトラストは、境界型やネットワークでの対策を否定するものではなく、それらを含めて広げる考え方とされています 用語の短い説明は、用語集の[ゼロトラスト](https://www.ameliatechnology.co.jp/glossary/zero-trust/)にもまとめています。 ## なぜ、いま考える必要があるのですか 社員が社外やクラウドで働くことが増え、守る対象が社内のネットワークの中に収まらなくなっているためです。メールやファイルの共有、会計などの仕事のシステムを[SaaS](https://www.ameliatechnology.co.jp/glossary/saas/)で使っていれば、社員は社内のネットワークを通らずに直接つなぎます。 また、境界の入り口そのものが狙われています。警察庁は、2025年のランサムウェアの被害で、被害を受けた組織へのアンケートによる侵入の経路は、VPN機器が6割以上を占めたとしています。入り口を一度通られると、内側では自由に動けてしまう作りのままでは、被害が広がりやすくなります。 出典：[令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf) ## ゼロトラストを形づくる要素 デジタル庁の方針は、ゼロトラストを取り入れるときの方針として、次の6つを挙げています。 1. 守る対象（アカウント、端末、サービス、データ）を識別する 2. 身元を確かめ、本人であることを確かめる（[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)などを含む） 3. 通信を暗号化するなどして、ネットワークを守る 4. 端末の状態（OSや構成、場所など）を確かめる 5. アクセスの決まりにもとづいて、許すかどうかを判断し、実行する 6. 守る対象とアクセスを観測する（記録をとり、異常を知らせる） 出典：[ゼロトラストアーキテクチャ適用方針（デジタル庁、DS-210、2022年6月30日）](https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/5efa5c3b/20220630_resources_standard_guidelines_guidelines_04.pdf) 方針は政府の情報システムに向けたものですが、要素の考え方は、会社の規模にかかわらず参考になります。 ## 中小企業は、どこから始めればよいですか 中小企業は、ID、端末、記録の3つから始めると取り組みやすくなります。高価な製品を一度にそろえるより、いま使っているクラウドサービスの機能を使いこなすところから進めるのが現実的です。 ### IDをまとめ、多要素認証を設定する 社員のアカウントを、一人ひとつのIDにまとめ、そのIDでいろいろなサービスにログインできるようにします（[SSO](https://www.ameliatechnology.co.jp/glossary/sso/)）。IDを一か所で管理できれば、入社・異動・退職のときの付け外しが確実になり、多要素認証も一か所で設定できます。IDを管理する仕組みは[IdP](https://www.ameliatechnology.co.jp/glossary/idp/)と呼ばれ、多くのグループウェアのサービスに備わっています。 あわせて、[最小権限の原則](https://www.ameliatechnology.co.jp/glossary/least-privilege/)にもとづき、仕事に要る分だけの権限を渡します。多要素認証の広げ方は、[多要素認証を社内に広げる進め方](https://www.ameliatechnology.co.jp/blog/mfa-rollout/)で説明しています。 ### 端末を把握する 会社の情報に触れるパソコンとスマートフォンを一覧にし、OSの更新が当たっているか、画面のロックや暗号化が設定されているかを確かめます。端末を管理する仕組み（[MDM](https://www.ameliatechnology.co.jp/glossary/mdm/)）や、不審な動きを見つける仕組み（[EDR](https://www.ameliatechnology.co.jp/glossary/edr/)）を使うと、確かめる手間を減らせます。私物の端末を仕事に使わせるかどうかも、この段階で決めておきます。端末の守り方は、[パソコンとスマートフォンの守り方](https://www.ameliatechnology.co.jp/blog/endpoint-security-edr-mdm/)で説明しています。 ### 記録をとって見る ログインの成功と失敗、管理者の操作、端末の検知などの[ログ](https://www.ameliatechnology.co.jp/glossary/log/)を残し、いつもと違う動きに気づけるようにします。何を、どのくらい残すかは、[ログの取り方と見方](https://www.ameliatechnology.co.jp/blog/log-management-basics/)で説明しています。 ## 段階的に進めるための考え方 ゼロトラストは、一度に完成させるものではなく、守る対象の大切さに応じて少しずつ広げていくものと考えると進めやすくなります。 | 段階 | すること | |---|---| | 1 | アカウントと端末、使っているクラウドサービスを一覧にする | | 2 | IDをまとめ、多要素認証を設定し、不要なアカウントと権限を整理する | | 3 | 端末の状態を確かめ、条件を満たさない端末からのアクセスを制限する | | 4 | 記録を集めて見る仕組みをつくり、異常に気づいたときの手順を決める | | 5 | 社内だけで使っていたシステムも、同じ考え方でアクセスを確かめる形に移す | VPN機器のように、境界の入り口として使っている機器は、ゼロトラストの考え方に移るまでの間も、更新と認証の強化を続けます。守り方は、[VPN機器の脆弱性とランサムウェア](https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/)で説明しています。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、アカウント・端末・クラウドの設定の棚卸し、多要素認証やID管理の設定、記録の確かめ方づくりまでを、段階を分けてご支援しています。いまのシステムとクラウドサービスのつなぎ方は、[AIインテグレーション](https://www.ameliatechnology.co.jp/service/integration/)のチームと一緒に考えることもできます。まずは無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)で、現状をおおまかに確かめることもできます。 - ゼロトラスト - 認証 - クラウド - リモートワーク ## この記事に出てくる用語 - [ゼロトラスト](https://www.ameliatechnology.co.jp/glossary/zero-trust/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [SaaS](https://www.ameliatechnology.co.jp/glossary/saas/) - [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/) - [VPN](https://www.ameliatechnology.co.jp/glossary/vpn/) - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/) - [シングルサインオン（SSO）](https://www.ameliatechnology.co.jp/glossary/sso/) ## 関連する法令・指針（参考情報） - 指針 デジタル庁「ゼロトラストアーキテクチャ適用方針」（DS-210（2022年6月30日）） 政府の情報システムにゼロトラストの考え方を取り入れるための方針です。境界の内部が侵害されることも想定し、要求ごとに必要最小限の権限でアクセスを制御する考え方を示し、リソースの識別、主体の身元確認と当人認証、ネットワークの保護、リソース（端末など）の状態の確認、アクセスの評価と管理、観測の6つの方針を挙げています。 [発行元の公式ページで開く](https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/5efa5c3b/20220630_resources_standard_guidelines_guidelines_04.pdf) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) - [業務システムのリニューアルで失敗しない進め方](https://www.ameliatechnology.co.jp/blog/system-renewal-steps/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「ゼロトラストの考え方と、中小企業の始め方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/