Cloudflare Zero Trustの発注は、対象範囲を定めてPoCで検証し、運用と責任分界を合意したうえで、段階的に展開する流れで進めます。
発注形態の選び方から、RFPと要件整理、契約と費用、委託先の選定までを順に見ていきます。全体像は、完全ガイドの記事にまとめています。
▼全体ガイドの記事
・Cloudflare Zero Trustのシステム開発の完全ガイド
・業務システム開発を依頼する会社の選び方やRFPの作り方については、無料ホワイトペーパー「業務システム開発の完全ガイドブック」で詳しく解説しています。
・スクラッチシステム開発を依頼する会社の選び方やRFPの作り方については、無料ホワイトペーパー「スクラッチシステム開発の完全ガイドブック」で詳しく解説しています。
Cloudflare Zero Trustのシステムを発注する前に知るべき全体像
Cloudflare Zero Trustは、アクセスを許可・拒否するクラウド型のセキュリティ・ネットワーク基盤です。社内ネットワークを新しく作る単体の業務システムではありません。土台になるCloudflare Oneは、ユーザーと端末の条件、アプリや通信内容などを確認したうえで、アクセスの可否を決めます。
Cloudflare Zero Trustの委託対象と仕組み
発注の対象は、標準サービスを自社の業務環境に合わせて導入する作業です。Cloudflare Zero Trust自体をスクラッチで開発するものではありません。
ユーザーの認証はIdPが受け持ち、Microsoft Entra IDやOktaなどと連携します。Cloudflare側では、アプリへの認証、社内リソースへの接続、端末と通信の制御を分けて担います。
- 認証：Cloudflare Accessによる、社内Webアプリ・SSH・RDPへのアクセス認証
- 接続：Cloudflare Tunnelによる、社内リソースへの接続
- 端末と通信：Cloudflare One Clientによる端末通信の制御と、GatewayによるDNS・Web通信の絞り込み
Accessポリシーは、4つの要素を組み合わせて設計します。その要素は、Action、Include・Require・Exclude、Selector、Valueです（出典：Cloudflare公式「Access policies」、2026年7月）。そのうえで、誰がどの端末から、どのアプリへ、どの条件でアクセスするかを、発注側と開発会社で合意しておきます。
主要コンポーネントと責任分界
典型的な構成では、次の基盤や機能を組み合わせて使います。
- 認証・端末：IdP、MDM、EDRなどの基盤
- アクセス・通信：Access、Gateway、Tunnelの組み合わせ
- 記録：SIEMやログ保管基盤との連携
Tunnelでは、社内のcloudflaredがCloudflareへアウトバウンド接続を張ります。そのため、公開IPや受信ポートを直接公開せず、Webサーバー、SSH、リモートデスクトップへ接続できます（出典：Cloudflare公式「Cloudflare Tunnel」、2026年4月）。
Cloudflareだけでは担えない部分もあります。IdPの認証情報、MDMの暗号化と証明書、EDRの脅威検知は、それぞれの製品側で扱います。加えて、業務アプリ内の権限管理も、別に扱う必要があります。
発注側は、Cloudflareや販売元、導入会社、自社の担当作業と障害時の一次窓口を、RFPに記しておきます。
Cloudflare Zero Trustの発注形態の選び方
ライセンスの購入先と、設計・設定・移行・運用の委託先は、同じとは限りません。そこで、必要な責任範囲に応じて、検証はスポット支援、全社展開は導入プロジェクト、継続監視はマネージドサービスを選びます。
PoCやスポット支援で小さく始める形
50ユーザー以下で社内Webアプリ1〜3個を検証するなら、AccessとTunnelを中心にPoCを依頼できます。
検証では、代表ユーザーを選び、管理端末、在宅回線、既存VPN利用者を含めます。認証とDNSを確かめ、アプリの表示やSSH・RDP接続、切り戻しまで試します。
成果物には、設定済みテナント、対象アプリ・ポリシー一覧、検証結果を含めます。例外理由や残課題、本番展開の前提条件も書いておきます。成功の判断は、ログインできたかどうかだけでなく、想定リスクを減らせたかで行います。
設計から移行まで一括で委託する形
複数の製品や担当者が関わるため、委託範囲と責任分界をそろえて進めます。
- 対象条件：VPN廃止、複数拠点展開、海外拠点対応、IdP・MDM・EDR・SIEM連携のいずれかが必要な場合に検討する形
- 委託工程：現状調査、設計、PoC、段階展開、教育、運用引き継ぎを一続きで任せる範囲
- 発注先の経験：Cloudflare設定のほか、ネットワーク移行と端末管理の経験
- 責任分界：窓口は一本化できても、アプリ改修は対象外、MDM配布は顧客作業、ログ監視は別契約になることがある
- 見積範囲：設定、スクリプト、端末配布、テスト、問い合わせ、障害切り戻しの作業単位
運用監視まで含むマネージドサービス
社内にセキュリティ担当者が少ない場合は、運用監視まで委託する選択肢があります。設定後は、ポリシー変更とログ確認を依頼できます。端末追加やインシデント時の初動も依頼できます。
- 設定変更：ポリシーの変更や端末の追加を、委託先に依頼する
- 監視と初動：ログの確認と、インシデント時の初動対応
2025年4月、楽天モバイルとCloudflareはMSSP提携を発表しました。提携の内容は、日本企業へのZero TrustとNetwork Securityの導入と、運用までの提供です。こうした提携は、専門人材が不足する中堅・中小企業にとって、運用委託の選択肢が広がる例です（出典: Cloudflare公式発表、2025年4月）。
まず、24時間365日か営業時間内か、一次判定までか、ポリシー変更も代行するかを確認します。ただし、安価な月額でも、緊急対応やレポートがオプションの場合があります。端末再登録やログ追加保管も、オプションになることがあります。
RFPと要件整理の進め方
RFPは、製品名よりも業務目的と求める成果物を伝える資料です。「VPNをなくしたい」という目的に加えて、対象ユーザー、端末、アプリを具体的に書きます。接続経路と許可条件、監査要件、障害時の影響も具体化します。そのうえで、各社の見積条件をそろえます。
現状環境と対象範囲の棚卸し
現状調査では、利用者・端末・アプリを分けて洗い出します。既存環境も合わせて調べます。
- 利用者と端末：規模と管理状況
- アプリ：通信方式、認証、社外利用の条件
- 既存環境：ネットワークやID基盤との競合の有無
利用者は、人数と部門、拠点を記録します。端末は、台数とOS、管理端末とBYODの割合を残します。業務アプリと、拠点がある国も記録します。
アプリごとに通信方式を確認します。Webに加えて、SSHやRDPも含まれます。ファイル共有やデータベースの通信も、確認の対象になります。
さらに、認証方式、社外利用の可否、停止時の影響も確かめます。既存VPNや社内DNS、ファイアウォールも一覧にします。プロキシやMDM、EDRも、同じ表に入れます。ID基盤は、Microsoft 365やGoogle Workspaceなどを含めて整理します。
Cloudflare One Clientを配布する場合は、VPNやEDRとの競合とSplit Tunnelを確かめます。証明書の配布と社内DNSの名前解決も検証します。プリンターや特殊なレガシーアプリも、検証の対象に入れます。
RFPに書くべき要件と成果物
RFPの要件は、機能、非機能、成果物の3区分で示します。
- 機能要件：必要な機能と対象外の機能を明記
- 非機能要件：可用性、監査、サポートの条件
- 成果物：設計書、手順書、設定、教育資料の提出
機能要件には、Accessの認証方式とMFAを書きます。端末姿勢チェックやサービス認証、Tunnelの接続先も記載します。
Gatewayについては、DNS、HTTP、ネットワークの各ポリシーを示します。DLPやCASBを導入するかどうかも、あわせて書きます。
非機能要件には、可用性と認証障害時の代替手段を含めます。RTOとRPO、ログ保存期間も必要です。監査方法と管理者権限、APIトークン管理を書きます。サポート時間と初動時間も含めます。
成果物には、基本設計書、ポリシー一覧、ネットワーク経路図を求めます。端末展開手順とテスト仕様書、運用手順書も含めます。設定はエクスポートかIaCで残し、教育資料もそろえます。そのため、担当者が替わっても運用を続けやすくなります。
PoC、段階展開、切り戻し条件の決め方
移行後の業務影響を抑えるため、検証と切り戻しを計画に含めます。
- PoC：全社展開の前に、1部門・1拠点・1〜3アプリで行う検証
- 展開順：PoCのあと、本社や主要拠点から全社へ順に広げる流れ
- 検証対象：管理端末に加え、海外・在宅回線、BYOD、委託先、SSH・RDP利用の管理者
- 切り戻し：問題を切り分けるため、旧VPNは即時停止せず一定期間残す
- 継続判断：認証失敗率、接続時間、アプリのエラー、問い合わせ、危険サイト遮断をKPIにして判断
契約形態と請負・準委任・運用委託の使い分け
導入には、要件が固まった設定作業と、課題を探りながら進める設計作業が混在します。そのため、全工程を一つの契約にまとめず、フェーズごとに成果と責任を分けると、追加費用や仕様変更を整理しやすくなります。
請負に向く設定・移行の作業
請負契約は成果物の完成を重く見る契約で、完成条件を定められる作業に適します。
- 設定：テナント、Accessポリシー、Tunnelの構成
- 展開と検証：端末配布やテストの成果物の納品
- 運用準備：運用手順書などの完成
委託先は、テスト仕様書も成果物として納めます。
「安全にする」や「VPNをなくす」だけでは、完成条件になりません。完成条件には、対象アプリ数と対象ユーザー数、認証方式を書きます。テスト項目と合格基準も、あわせて定めます。
納品形式、修正回数、瑕疵対応期間は、契約書か個別仕様書に記載します。Cloudflareや顧客環境の仕様が変わったときに、追加見積となる条件も確かめます。
準委任に向く要件整理と伴走支援
準委任契約は、一定期間の遂行そのものを重く見る契約です。調査、設計、会議、レビューなどが該当します。
現状調査、RFP作成支援、ポリシー設計は、環境を見ながら内容が変わる作業です。ベンダー比較やPoC評価、社内調整も、この形に当てはまります。
作業時間や体制だけでなく、月ごとの成果も合意しておきます。定例の成果物には、現状構成図の更新やアプリ棚卸し、ポリシー案のレビューを含めます。課題一覧と意思決定の記録も定例にすると、判断材料が残らない事態を防げます。
監視・保守のSLAと責任分界
運用委託は、サービス内容と対応条件を分けて契約します。
- サービス内容：監視、変更、障害対応などの範囲
- 対応条件：受付、初動、休日対応、再委託先の取り決め
サービス項目は、月次レポートやアラート確認、ポリシー変更に分けて定めます。ユーザーや端末の追加は、障害の一次対応とは別の項目にします。インシデント連絡や定期レビューも、項目に入れます。
対応時間と受付方法、重大度別の初動時間は、SLAか運用設計書に定めます。エスカレーション先、休日対応、再委託先も、同じ書類で決めておきます。
個人情報を扱う場合は、まずログや端末情報の扱いと保存場所を確認します。アクセス権、再委託、監査についても、確かめておきます。契約が終わるときは、返却と消去の方法も確認します。
個人情報保護委員会のガイドラインも、確認が推奨されています。また、外国事業者への委託では、再委託先や取扱方法の事前報告・承認、定期監査などが対象です（出典: 個人情報保護委員会「外国にある第三者への提供編」、2025年改訂版）。
Cloudflare Zero Trustの発注・外注費用相場
費用は、ライセンスや導入・連携、端末展開に分けて考えます。ネットワーク移行、ログ・SIEM、運用監視も、別に見積もります。
料金ページには50ユーザー以下向けFreeがあります。前払いプランは1ユーザー月額7ドルです。機能を組み合わせる契約型プランは、組織の構成や機能ごとに個別見積となります（出典：Cloudflare公式「Zero Trust and SASE plans」、2026年確認）。
ユーザー数と機能によるライセンス費用の変動
ライセンス額は、50ユーザー以下の無料枠と前払いプランのユーザー単価で変わります。
- Free：50ユーザー以下なら0ドルになる可能性があります。
- 前払いプラン：1ユーザー月額7ドルを仮定した計算
前払いプランを仮定すると、年間の費用は50ユーザーで4,200ドル、50〜300ユーザーで4,200〜25,200ドルです。1ドル150円なら約63万〜378万円になりますが、これは為替とプラン適用の仮定に基づく例です。2026年の契約価格を保証するものではありません。
DLPやCASB、ブラウザ分離を加えると、単価だけでは比べられません。専用サポートやログ管理、SLAを付けた場合も、料金の全体像は単価からは見えにくくなります。
Cloudflareの契約費と、既存または追加のIdP・MDM・EDR・SIEMの費用は、分けて考えます。年額か月額か、最低購入数、契約期間も確認します。
導入・連携費の規模別レンジ
導入支援費は、PoCから大企業の展開まで、規模に応じて費用と期間が広がります。
- PoC・小規模：30万〜150万円、2〜6週間。
- 中小企業：100万〜500万円、1〜3か月。
- 中堅企業：500万〜1,500万円、3〜6か月。
- 大企業：1,000万〜3,000万円超、6〜12か月以上。
中小企業のレンジはIdP・MDM連携とVPN代替、中堅企業は複数拠点展開とログ連携を想定したものです。大企業のレンジは、グローバル展開やDLP・SIEM・冗長化を含む場合が前提です。
これは正式価格ではなく、NotebookLMリサーチノートの業務システム開発の人月単価と規模感を当てはめた推定です。前提にした単価は、中小開発会社が人月80万〜120万円、大手SIerが150万〜200万円です。案件の難易度や体制によって変動します（出典: NotebookLM Q&A「業務システム全般_16」、2026年調査）。
このレンジは予算申請の初期値として使い、RFP回答とPoC後の正式見積で更新します。
運用費と追加費用の見積
運用費は、作業項目と変動要因を分けて見積もります。
- 運用作業：監視、変更、追加、問い合わせ、報告、初動対応。
- 変動要因：SOC、SIEM保存量、拠点、SLA、端末再展開。
計画値は、月額10万〜100万円超、または初期導入費の年15〜25％程度です。24時間SOCなどの運用範囲で大きく変わるため、単一の平均額とは断定できません。
見積ではCloudflareライセンスと既存製品の追加費を分けます。設計・設定と端末展開、アプリ・ネットワーク移行も、項目ごとに分けます。テスト・教育、ログ・監視、保守・SLAを含めて、8項目程度に整理します。
導入・運用費が別紙の場合は、3年総額で比べます。
委託先の選定と見積比較で確認すべきポイント
候補は、販売代理店や製品提供元、Zero Trust専門会社、MSSPなどです。クラウド・アプリ連携に強いSIerや、ネットワークを含む大手SIerも候補に入ります。比べる軸は、知名度よりも、自社に必要な工程を実行できるかどうかです。
公式パートナー情報と実装経験の確認
公式情報と自社に近い導入実績の両方を確認します。
- パートナー領域：公式掲載カテゴリと得意分野の照合
- 導入実績：自社に近い構成や運用経験を、委託先に尋ねる
たとえば、Cloudflare公式情報ではGSXは日本のZero Trustパートナーです。クラスメソッドは日本のApplication Servicesパートナーです。
両者は、Zero Trust設計なのか、アプリ・クラウド連携なのかを分けて確かめます（出典：Cloudflare公式ブログ「Shaping the future: Cloudflare’s service partner strategy」、2023年公開・2026年確認）。
実績は、会社名や導入社数だけでなく、ユーザー・アプリ・拠点の数まで確かめます。IdPや端末管理、旧VPN、非Webアプリも見ます。ログ連携と運用時間も、確認の対象です。
クラスメソッドの事例では、Azure AD連携とMDMによるクライアント展開が紹介されています。週3,700万件のインターネットリクエストのうち、週約4,000件を危険サイトとして遮断しました。
これは同社の事例であり、自社で同じ効果が得られる保証ではありません（出典: Cloudflare公式「Classmethod & Cloudflare」、2026年確認）。
見積比較の作業範囲と前提条件
見積比較では、各社に同じRFPを渡し、作業範囲と前提をそろえます。
- 作業範囲：ライセンスから運用まで、同じ項目で比べる
- 実施条件：体制、顧客作業、納期、検収条件
回答の内訳は、ライセンスや初期設定、ポリシー設計、アプリ移行に分かれているかを見ます。端末展開とテストは別の項目か、教育と運用は含まれるかも確かめます。人月に加えて、担当者の役割、作業場所、会議回数も見積書で見ます。
安い見積では、対象アプリが1つだけ、端末配布は顧客作業、ログ保管は対象外といった前提が付いていることがあります。障害対応がベストエフォートだったり、設定変更が別料金だったりする場合もあります。
一方で、高額な見積には、必要のないDLPや専用サポートが含まれる場合もあります。そのうえで、提案の差分を見比べ、必要なものから段階的に導入します。
納品物、設定の引き渡し、契約終了時の処理
契約終了後も自社や別会社で運用を続けられるよう、引き渡し対象とアクセス管理、終了時の処理を契約で定めます。
- 設定・資料：管理者アカウント、IaC、ポリシー、DNS・経路情報、変更履歴、テスト結果、運用手順書。
- APIトークン：最小権限のサービスアカウントと、保管場所の取り決め
- 契約終了時：不要な認証情報の無効化、ログの返却・消去、アクセス権の解除
これらの所有者と引き渡し方法も、契約に記載しておきます。終了時の処理が未確定のままだと、委託先を変えるたびに再設計費が生じやすくなります。
よくある質問
発注時には、製品機能、費用、既存環境との相性、運用体制についての疑問がよく出ます。見積を頼む前に判断しておきたい点を、ここで取り上げます。
Cloudflare Zero Trustは自社開発が必要ですか？
通常、Cloudflare Oneのスクラッチ開発は不要です。標準機能のAccess、Tunnel、Gateway、Cloudflare One Clientを使います。
- 追加開発：申請・承認画面、端末の自動登録、監査レポート、社内ポータル連携をAPIやIaCで補う
- 発注先：Webアプリ会社のほか、IdP、ネットワーク、端末管理、セキュリティ運用を扱うSIerやMSSPも候補です。
- 選定軸：標準機能と追加開発の境界を提案できるか
既存VPNはすぐに廃止できますか？
廃止の時期は一律に決めず、利用環境と運用条件を見て判断します。
- 移行方式：PoCと段階展開を行い、切り戻し期間を設ける
- 接続確認：Tunnel・Gateway、社内DNS、非Webアプリ、特殊な通信の確認
- 廃止判断：端末クライアントやIdP障害時の代替手段を、アプリごとに調べる
- 移行計画：旧VPNの同時稼働期間、廃止条件、例外ユーザー、緊急時の再接続手順を、RFPと移行計画に記載
- KPI：VPN削減だけを指標にせず、接続成功率、問い合わせ件数、認証失敗率も見る
無料プランなら導入費も無料ですか？
無料プランでも、人件費は発生します。要件整理やポリシー設計、IdP連携、Tunnel構築、端末展開の作業は、ライセンス費とは別にかかります。テストや教育、運用の作業も、予算に入れる必要があります。ライセンスが0ドルでも、業務を止めずに移行するための導入・運用費を予算に含めます。
ユーザー数や必要なセキュリティ機能によっては、有料プランが必要になる場合があります。サポートやログ保存、SLAの条件も、判断材料になります。公式料金表示を確認し、見積ではライセンスと導入支援を分けて、ユーザー増加時の単価も確かめます。
委託先はCloudflareの公式パートナーだけで選ぶべきですか？
公式パートナーであるかどうかだけでは、判断しきれません。RFPと照らして確かめる項目は、掲載カテゴリ、担当工程、IdP・MDM・アプリ連携の経験です。さらに、運用体制、納品物、終了時の引き渡し条件も照合します。
販売・ライセンス更新と、ポリシー設計・24時間監視では得意な会社が異なる場合があります。そのため、ライセンス、導入支援、運用監視を分けて頼むか、主契約会社が全体を統括できるかを確認します。
まとめ
発注では、Cloudflare Oneの設定だけでなく、IdP・MDM・EDR連携やVPN移行まで計画に含めます。端末展開、ログ管理、障害対応、運用引き継ぎも、同じ計画の中で扱います。
発注側は、標準機能を活かし、必要な追加開発だけをAPI、IaC、社内ワークフローとして切り出します。
発注成功の要点
発注形態は、PoC、設計・移行、運用監視に分けて考えます。RFPで対象と成果物を明確にし、契約ごとに責任の範囲を決めます。
費用は、ライセンスだけでなく、連携、端末展開、テスト、保守を含めた3年総額で比べます。
次に行うこと
発注の前に現状と条件を整理しておくと、提案や費用を比べやすくなります。
- 環境整理：利用者数、端末台数、業務アプリ、既存VPN、IdP・MDM・EDR、ログ保存期間を棚卸しし、PoCは一部門と数個のアプリに絞る
- RFP：同じ条件で、現状環境、対象、認証・端末姿勢、ログ・監査、切り戻し、成果物を記載
- 契約：設定、運用、引き渡し、契約終了時の処理を確認したうえで、請負・準委任・運用契約を作業に応じて組み合わせる
- 費用：ライセンス、導入・連携、端末展開、移行、テスト、運用に分け、計画用レンジを正式見積で更新
- 委託先：実績、責任分界、SLA、再委託、設定・IaCの引き渡し、終了時のデータ消去の比較
▼全体ガイドの記事
・Cloudflare Zero Trustのシステム開発の完全ガイド
▼RFP作成前に読みたい無料ホワイトペーパー
・業務システム開発の完全ガイドブック
・スクラッチシステム開発の完全ガイドブック
・【2026年最新版】AI駆動開発の完全ガイドブック
会社紹介
株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。
また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。
もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。
・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>
株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。