段階導入ロードマップ（ZTNA から SASE へ）

セキュリティアーキテクチャの現代化において「一斉刷新」は高リスクだ。実績ある手法はユースケース単位の漸進的な導入であり、フェーズ 1: ZTNA（VPN 置換）→ フェーズ 2: SWG・CASB 統合 → フェーズ 3: SD-WAN 統合で SASE 全面展開という 3 段階が定石となっている。情報カットオフ ~2025-08、confidence: medium 固定（2026-05-31 時点での外部再検証は未実施）。

なぜ段階導入が有効か

一斉刷新は導入期間中のダウンタイムリスク、並行運用コスト、組織のキャパシティ超過を招きやすい。一方、段階導入には 3 つの優位点がある。

リスクの局所化: 各フェーズで影響範囲を限定できるため、問題発生時のロールバックが容易だ。フェーズ単位で PoC（概念実証）を実施し、効果を検証してから次のフェーズへ進める。

既存資産の活用: VPN や既存ファイアウォールをフェーズ移行期間中に並行運用できる。投資済みの機器・ライセンスを段階的に縮小することで廃棄コストを最小化する。

組織の習熟: セキュリティチームがひとつのツール・プロセスに習熟してから次のフェーズに進む。学習コストを分散し、運用ミスや設定誤りを減らせる。

フェーズ 1 — ZTNA によるリモートアクセス（VPN 置換）

最初の着手点として広く採用されているのが **ZTNA（Zero Trust Network Access）**によるリモートアクセスの刷新だ。

なぜ ZTNA から始めるか: VPN は接続が確立すると内部ネットワーク全体へのアクセスを許可する「ネットワーク信頼モデル」を前提とする。ゼロトラストモデルでは「ネットワーク上にいても信頼しない」原則のもと、アプリケーション単位・ユーザー単位で最小権限アクセスを付与する。リモートワーク普及と SaaS 移行により VPN のボトルネック問題（スプリットトンネル・バックホール遅延）が顕在化しており、ZTNA 置換の費用対効果は高い。

技術要素:

• アイデンティティ認証（IdP 連携・MFA 必須）
• デバイス正常性確認（デバイスポスチャ評価）
• アプリケーション単位のアクセスポリシー
• ユーザーあたりの最小権限の原則

ZTNA の詳細なゼロトラスト設計原則は tech-117（Defense Models and Strategies）で扱っている。

フェーズ 2 — SWG・CASB 統合（Web/SaaS 制御）

ZTNA でリモートアクセスのゼロトラスト化が完了したら、次にWeb トラフィックと SaaS アプリケーションへのインライン制御を導入する。

SWG（Secure Web Gateway）: すべての Web トラフィックをプロキシ経由に集約し、URL フィルタリング・マルウェア検査・SSL インスペクションを実施する。クラウドデリバリー型 SWG はエージェント（または PAC ファイル）経由で PC・モバイルのトラフィックをクラウドに誘導するため、物理アプライアンスが不要だ。

CASB（Cloud Access Security Broker）: 組織が利用している SaaS アプリケーション（Microsoft 365・Salesforce・Box など）のアクセス可視化・ポリシー適用・DLP（情報漏洩防止）を担う。シャドー IT（未承認 SaaS）の把握と制御もこの段階で実装できる。

統合の実装: SWG と CASB はインラインモード（フォワードプロキシ）と API モードを組み合わせて運用する。インラインモードはリアルタイム制御、API モードはクラウドストレージ内の静的コンテンツのポリシー適用に向く。このフェーズで多くの組織がシャドー IT の規模と DLP 違反の多さに初めて気づく。

フェーズ 3 — SD-WAN 統合と SASE 全面展開

フェーズ 2 で SSE（Security Service Edge）相当の機能が整ったら、SD-WAN（Software-Defined WAN）との統合で拠点・WAN レベルのネットワークも包含し SASE へ収斂する。

SSE と SASE の関係:

• SSE = SWG ＋ CASB ＋ ZTNA ＋ FWaaS（クラウドデリバリー型セキュリティ機能の統合）
• SASE = SSE ＋ SD-WAN（セキュリティ ＋ ネットワーク最適化の統合）

SD-WAN は拠点間トラフィックのルーティング最適化・MPLS からのコスト削減・アプリケーション品質監視を担う。SSE と SD-WAN を同一ベンダーのプラットフォームで統合すると、ポリシーの一元管理・トラフィックの統合可視化・運用コンソールの集約が実現する。

単一ベンダー SASE の潮流: Gartner MQ 2025 によれば、大企業でも単一ベンダー SASEへの移行が加速している。Palo Alto Networks・Netskope・Zscaler が代表的なプレイヤーであり、それぞれ異なる強みを持つ。単一ベンダー化のメリットは、製品間の連携が保証されること、ライセンス交渉の集約、そしてサポート窓口の一本化だ。ただし特定ベンダーへのロックインリスクも考慮する必要がある。

移行設計のポイント

段階導入を成功させるには、各フェーズの移行設計が重要だ。

現状アセスメント: 既存の VPN・ファイアウォール・プロキシ・SaaS 利用状況を棚卸しする。リソース別のアクセス経路を可視化し、ゼロトラスト化の優先順位を決定する。

フェーズ間の連携設計: 各フェーズで導入した製品が次のフェーズと連携できるかを事前に確認する。アイデンティティプロバイダー（IdP）・ログ基盤・SIEM との統合設計を早期に固める。

並行運用と撤去計画: VPN を即廃止するのではなく、ZTNA が全ユーザーに展開完了してから段階的に撤去する。フェーズ移行後にロールバックできる猶予期間を設けることでリスクを管理する。

PoC の位置づけ: 各フェーズの本番展開前にPoC を実施し、パフォーマンス影響・既存アプリとの互換性・ユーザー体験を検証する。特に日本企業では稟議プロセスと PoC 結果が意思決定の根拠となる。

アンチパターン