ゼロトラストのシステム開発の発注/外注/依頼/委託方法について

ゼロトラストのシステムを発注・外注するなら、単一のセキュリティ製品を購入するのではなく、利用者・端末・アプリケーション・データを確認してアクセスを制御する仕組みを、自社の業務に合わせて段階的に設計・導入することが重要です。

「VPNを廃止したい」「Microsoft 365にMFAを付けたい」「情シスだけでは設計できない」と考えていても、発注範囲や契約形態が曖昧なまま見積もりを取ると、製品費以外の設定・移行・教育・運用費が膨らみやすくなります。この記事では、ゼロトラストのシステム開発を外注する際の発注形態、RFPと要件整理、契約、費用相場、委託先の選び方、見積書の比較方法を順番に解説します。

▼全体ガイドの記事
・ゼロトラストのシステム開発の完全ガイド

ゼロトラストのシステムを発注する前に知っておきたい全体像

ゼロトラストは製品名ではなく、アクセスのたびに利用者、端末、接続元、アプリケーション、データの状態を確認し、必要な範囲だけ許可するセキュリティアーキテクチャです。「社内ネットワークにいるから安全」「一度ログインしたから安全」という前提を置かず、侵害を前提に監視と復旧まで設計します。

ゼロトラストのシステムとは、IDaaS・IAMによる認証、MDMやUEMによる端末管理、EDRによる端末監視、ZTNAやSASEによるアプリ単位の接続制御、SIEMやSOCによるログ監視、DLPや暗号化によるデータ保護を組み合わせた業務基盤です。MFAを有効にしただけでは、端末が未管理だったり、退職者のアカウントが残っていたり、業務アプリの権限が広すぎたりする問題は解決しません。

米国国立標準技術研究所（NIST）のSP 1800-35は、2025年6月公開の実装ガイドで、オンプレミスと複数クラウド、ハイブリッド勤務、外部パートナーを対象に、24の協力組織と19のゼロトラスト実装例を示しています（出典: NIST SP 1800-35、2025年）。この点からも、発注対象は「ゼロトラスト製品1個」ではなく、複数の既存システムをID中心のポリシーでつなぐプロジェクトと考えるのが適切です。

最初に、対象ユーザー、端末、拠点、SaaS、オンプレミスの業務アプリ、委託先、重要データを一覧化します。50〜300人規模の企業であれば、全社を一度に切り替えるのではなく、管理者アカウントとMicrosoft 365などの主要SaaSから始め、次に端末、社内業務アプリ、協力会社の順に広げる設計が現実的です。

発注対象には、製品ライセンスだけでなく、現状診断、アーキテクチャ設計、初期設定、既存IDとの連携、端末登録、アプリ接続、ログ設計、試験、利用者教育、ヘルプデスク、障害時の代替認証、運用引き継ぎを含めます。反対に、端末の買い替えやネットワーク回線の変更を別契約にする場合は、RFPに「別途」と明記して責任分界を曖昧にしないことが大切です。

ゼロトラストのシステム開発で選べる発注形態

発注形態は、完成した仕組みを任せるか、設計や進行を自社で持つか、運用まで継続して委託するかで決まります。ゼロトラストでは、製品導入に強いベンダー、複数製品を統合できるSIer、業務システムの改修ができる開発会社、監視を担うSOCが関わるため、1社にまとめる場合と専門会社を組み合わせる場合を比較します。

要件定義から製品選定、ネットワーク連携、移行、運用設計までを1社にまとめる方法です。社内にセキュリティ専門人材が少なく、複数ベンダーの調整を自社で担えない企業に向いています。窓口が一本化されるため、障害時の切り分けや工程管理がしやすい一方、特定製品に寄った提案になったり、再委託先が見えにくくなったりする可能性があります。

一括請負を選ぶ場合でも、RFPには「他社製品を含めた比較を提示すること」「設定値、ポリシー、ログ、構成図を納品すること」「契約終了時に引き渡す情報」を書きます。将来の運用を別会社へ移せる状態を作っておくと、ベンダーロックインのリスクを抑えられます。

IDaaSやSASEは製品ベンダー、業務アプリ改修は開発会社、24時間監視はSOCというように役割を分ける方法です。製品に詳しい会社を選びやすく、価格や専門性を比較しやすい反面、認証、端末、ネットワーク、アプリの間で障害が起きたときに、どの会社が一次対応するかを決めておかなければなりません。

複数社体制にするなら、発注者側または独立したPMOが、全体構成図、ポリシーの優先順位、試験計画、インシデント時の連絡網を管理します。各社の契約書に「自社製品の範囲外」と書かれる前に、連携部分の責任者を決めることが重要です。

本格導入の前に、資産棚卸し、リスク評価、候補製品の比較、1部門・1〜3アプリのPoCだけを依頼する方法です。要件が固まっていない企業や、VPNをすぐ廃止できない企業に適しています。PoCでは、ログインできるかだけでなく、端末が未準拠のときの挙動、認証アプリを紛失したときの復旧、古いオンプレミスアプリとの接続、問い合わせ件数まで確認します。

PoCの終了条件は、「動作した」ではなく、採用条件を満たしたかで定義します。例えば、対象ユーザーのMFA適用率、未管理端末の遮断、特権IDの棚卸し、アプリごとのアクセスログ取得、障害時の復旧時間を検証項目に入れます。PoC後に本番契約へ移る場合の成果物と再見積もりの方法も、最初の契約に含めると安心です。

RFPと要件整理で発注前に決めること

RFPは、ベンダーに提案と見積もりを依頼する文書です。製品名を先に固定するのではなく、「誰が、どの業務データへ、どの端末から、どの条件でアクセスするか」を書きます。候補会社が同じ前提で提案できるため、見積比較の精度が上がります。

ユーザーは正社員だけでなく、派遣社員、退職予定者、業務委託先、共有アカウント、特権管理者まで分類します。端末は会社貸与、BYOD、工場や店舗の専用端末、OSの更新が止まった機器を区別します。アプリはSaaS、クラウド上の業務システム、オンプレミスの基幹システム、API、ファイルサーバーを洗い出します。

データは、個人情報、財務情報、営業秘密、公開情報などに分類し、アクセスできる職務、保存場所、国外移転の有無、ログの保存期間を整理します。個人情報保護委員会のガイドラインは、個人データの技術的安全管理措置としてアクセス制御、アクセス者の識別・認証、外部からの不正アクセス防止などを示しています（出典: 個人情報保護委員会「通則編」）。法令対応をゼロトラスト導入だけで完了したと考えず、対象データごとの管理策に落とし込みます。

機能要件には、SSO、MFA、パスワードレス、アカウント発行・停止、端末の登録、条件付きアクセス、アプリ単位の接続、ログ検索、アラート通知、管理者権限の分離などを記載します。例えば「MFAを導入する」ではなく、「退職処理を人事システムの連携から何分以内に反映するか」「未準拠端末は遮断するか、読み取りだけ許可するか」まで決めます。

非機能要件には、可用性、認証の応答時間、ログ保存期間、暗号化、バックアップ、RPO・RTO、障害時のブレークグラス手順、SLA、サポート時間、監査証跡、データの保管場所を含めます。セキュリティを強化するほど、認証障害が業務停止につながる可能性もあるため、代替認証や緊急時の手動手順を必ず要件に入れます。

成果物は、要件定義書、構成図、ポリシー一覧、アカウント設計、端末登録手順、アプリ接続一覧、試験仕様書、操作マニュアル、障害対応手順、運用レポートのサンプル、設定値とログの引き渡し形式まで具体化します。納品物を「導入完了資料」とだけ書くと、運用担当者が必要とする情報が不足しやすくなります。

移行対象は、優先順位と時期を分けて書きます。第一段階を管理者とSaaS、第二段階を一般社員と端末、第三段階をオンプレミス業務アプリや委託先とするように、段階リリースの条件を示します。対象外の古いアプリ、未対応の端末、ネットワーク回線、既存ライセンスの更新費も明記し、提案会社の想定でスコープが膨らまないようにします。

ゼロトラストのシステム開発に適した契約形態

ゼロトラスト案件では、要件が決まっている設定作業と、PoCで検証しながら決める設計作業が混在します。そのため、全工程を同じ契約形態にするより、現状診断・要件定義は準委任、確定した設定・移行・テストは請負、導入後の監視は運用保守契約というように、工程ごとに分ける方法が適しています。

準委任契約は、専門家の作業や支援に対して時間・役割を定める契約です。現状診断、資産棚卸し、製品比較、要件定義、PoC、PMO、運用設計のように、発注時点で完成形や作業量を確定しにくい工程に向いています。委託先の稼働時間、担当者、会議体、作成する資料、判断を自社が行う範囲を契約書に書きます。

準委任で注意したいのは、作業時間を払っても、特定のセキュリティ状態が実現するとは限らない点です。例えばMFA適用率やログ取得率を成果指標として追う場合は、作業内容と別に、検収する条件や未達時の対応を合意します。発注者側にも、情報提供、意思決定、利用部門への協力依頼などの責任があることを明確にします。

請負契約は、合意した成果物や仕事の完成を前提にする契約です。確定した構成に基づくテナント設定、コネクタ開発、端末登録用の仕組み、アプリ接続、移行、試験、マニュアル作成などに向いています。検収基準は「設定した」ではなく、「指定されたユーザーが指定された条件でアクセスでき、未準拠端末は想定どおり制御され、ログに必要な情報が残る」のようにテストケースで定義します。

請負範囲に要件変更が発生した場合の追加費用、納期への影響、再試験の扱いも決めます。ゼロトラストでは、PoCで例外ポリシーが増えたり、古いアプリの仕様が判明したりするため、変更管理の手順がないと、発注者と受託者の双方が不満を抱えやすくなります。

導入後は、ライセンスの更新、アカウント棚卸し、ポリシー変更、アラート分析、脆弱性対応、ログ保管、月次報告、インシデント対応を運用保守契約で定めます。SOCを外注する場合は、監視する製品、対応時間帯、アラートの重大度、通知先、遮断の権限、誤検知時の連絡、設定変更の料金を確認します。

NTTドコモソリューションズの公開資料では、アラート分析、論理的なネットワーク切断、月1回のレポート、設定変更や問い合わせのチケット対応など、運用の範囲が分けて説明されています。発注時には「SOC付き」と一括表記するのではなく、平日対応か24時間対応か、遮断を誰が承認するか、何を月額に含むかを同じ粒度で比較します。

ゼロトラストのシステム開発・発注費用の相場

ゼロトラストには一律の公定価格がなく、ユーザー数、端末数、拠点数、対象アプリ、オンプレミス連携、ログ量、SOCの有無で費用が変わります。以下は公開価格と、業務システム・セキュリティ基盤の類似案件から整理した編集上の目安です。個別見積もりの上限・下限ではないため、予算計画では必ず自社の対象範囲に置き換えます。

SSO・MFA、対象SaaSを1〜3個、20〜100ユーザー程度に絞ったPoCは、初期50万〜300万円、期間1〜2か月程度が一つの目安です。既存のID基盤を使い、条件付きアクセス、ログ確認、復旧手順までに範囲を限定します。ここには、製品ライセンス、設定作業、試験、利用者への案内を含むかどうかで差が出るため、見積書で分けて確認します。

PoCの金額を安く見せるために、要件整理や本番移行を除外している提案もあります。PoCを本導入の設計資料として再利用できるか、試験結果や設定値を納品するか、終了後に本番の概算を出す条件があるかまで確認します。

100〜500ユーザーを対象に、MDMまたはUEM、EDR、複数SaaS、アカウント整理、運用設計、利用者教育まで行う場合は、初期300万〜1,000万円、期間2〜6か月程度が目安です。端末の棚卸しができていない、部署ごとに異なるアカウントがある、BYODが混在している場合は、移行と問い合わせ対応の工数が増えやすくなります。

ライセンスの公開価格と導入費は分けて見ます。Cloudflareの公開料金では、50ユーザーまでのFree、Pay-as-you-goの7米ドル・ユーザー・月、フル機能のSASEやワークスペース保護向けの個別見積もりが示されています（出典: Cloudflare Pricing、2026年確認）。7米ドルを1ドル=150円と仮置きすると約1,050円・ユーザー・月ですが、為替、税、契約条件、追加機能を含まない試算です。

拠点・リモートアクセス・オンプレミスの業務アプリ・既存VPNからの移行を含むZTNAやSASE導入は、初期1,000万〜3,000万円、期間4〜12か月程度が目安です。複数クラウド、マイクロセグメンテーション、SIEM・SOC、数千ユーザー、海外拠点や委託先まで含める大企業・規制業種の全社基盤では、初期3,000万円〜1億円超、12〜24か月以上になることもあります。

NTTドコモソリューションズの資料でも、初期費用は導入範囲・要件による個別見積もりとされ、ライセンス、導入支援、SOC、問い合わせチケットなどが分けられています。公開資料にあるサービス例では、インターネットアクセス、MDE、社内システムアクセス、Intune、運用支援を別項目として扱っているため、自社の見積もりでも同じように初期費用、月額ライセンス、運用費、追加作業費を分解することが大切です。

3年総保有コストには、ライセンス、通信量、ログ保管、SOC、端末交換、ネットワーク改修、教育、問い合わせ、定期的な権限レビュー、契約更新を含めます。初期費用だけで安い会社を選ぶと、運用開始後の設定変更やチケットが別料金になり、総額が逆転する可能性があります。

ゼロトラストの委託先選定と見積比較のポイント

委託先は、知名度や製品の取扱数だけでなく、自社と同じ規模・業種・アプリ構成を扱った経験で選びます。重要なのは、設計だけでなく、現場への展開、例外ポリシーの管理、障害時の復旧、運用引き継ぎまで実行できるかです。

実績では、ユーザー数、端末数、拠点数、対象アプリ、移行期間、運用開始後の支援内容を聞きます。「ゼロトラスト導入実績あり」だけでは不十分で、オンプレミスの古いアプリや委託先のアクセスをどう扱ったかまで確認します。担当予定者の経験、再委託の有無、障害時の一次窓口、SOCの対応時間帯、休日対応の費用も評価項目です。

候補会社が特定の製品を扱っている場合でも、別製品を含めた比較理由を説明できるか確認します。Microsoft Entra ID、Intune、Defender、Okta、Cloudflare、Zscaler、Cisco Duoなどから、自社の既存契約、管理スキル、データ所在、将来の移行性を理由に選べる会社は、製品を売るだけでなく全体設計を担える可能性があります。

「ゼロトラスト対応一式」「セキュリティ設定一式」のような項目は、作業の抜け漏れを確認できません。ユーザー数、端末数、アプリ数、拠点数、ポリシー数、ログ保存期間、設定・試験・教育の時間、移行対象を数量で示してもらいます。ライセンスはユーザー課金か端末課金か、最低契約数、年額前払い、為替変動、値上げ条件も確認します。

比較表を作るときは、初期費用、月額費用、年額ライセンス、SOC、ヘルプデスク、追加チケット、端末や回線の費用、移行、教育、3年総額を横並びにします。安い見積もりほど、要件定義、試験、切り戻し、設定変更、休日対応、契約終了時のデータ返却が含まれているかを重点的に確認します。

導入事例では、攻撃を防いだという説明だけでなく、利用者が業務を続けられたかを見ます。ユニアデックスが公開する埼玉県朝霞市教育委員会の事例では、クラウド活用と働き方の変化を背景に、校務系と学習系ネットワークを統合し、リモートアクセスやクラウド型校務支援を組み合わせています。セキュリティ強化だけでなく、場所にとらわれない働き方や保護者連絡の効率化を目的にしている点が参考になります（出典: ユニアデックス導入事例、2025年公開）。

自社の事例ヒアリングでは、導入前の課題、対象人数、移行期間、現場の問い合わせ件数、端末故障時の代替手段、運用開始後に変えたポリシーを聞きます。導入直後の成果だけでなく、半年後・1年後に誰が権限とログを見直しているかを確認すると、運用できる委託先か判断しやすくなります。

発注後の導入・移行・運用引き継ぎを成功させる方法

ゼロトラストは、導入日に完成して終わるシステムではありません。人の異動、端末の交換、新しいSaaSの追加、委託先の変更、脅威の変化に応じてポリシーを見直す必要があります。発注時から、段階的に切り替え、ログと問い合わせを見ながら改善する運用を計画します。

最初はIT部門や協力的な1部署を対象にし、認証、端末状態、アプリ接続、ログ、問い合わせの流れを確認します。次に、業務影響の大きい部署、拠点、外部パートナーへ広げます。古いアプリや工場の専用端末など、すぐに移行できない対象は、例外ポリシーと期限を設定して放置しないことが重要です。

切り替え前には、認証サービス停止、端末紛失、MFA端末の変更、ネットワーク障害、誤った遮断、退職者アカウントの残存を想定したリハーサルを行います。切り戻し条件と承認者を決めておけば、セキュリティを高めることで業務が止まる不安を減らせます。

運用引き継ぎでは、管理画面の操作方法だけでなく、なぜそのポリシーにしたか、どの例外が承認済みか、いつ見直すかを記録します。アカウント発行・停止、端末登録、MFA再登録、アクセス申請、権限レビュー、アラート対応、ログ調査、障害復旧の手順を、担当者が変わっても実行できる形にします。

運用開始後のKPIには、MFA適用率、未管理端末数、過剰権限数、退職者アカウント停止までの時間、異常検知から遮断までの時間、問い合わせ件数、例外ポリシーの期限切れ件数を設定します。数字を月次で確認すると、製品を導入しただけでなく、リスクが減っているかを判断できます。

失敗しやすいのは、MFAだけで完了と考えること、全社を一括切り替えすること、ログを取るだけで誰も分析しないこと、例外ポリシーを期限なしで残すこと、端末故障時の代替認証を用意しないことです。また、価格だけで選んで、設定変更やSOC、教育を別料金にしている契約を見落とすケースもあります。

RFPの段階で、移行対象、対象外、例外、ログ保存、復旧、教育、運用の責任者を明記し、複数社に同じ条件で提案してもらいます。発注後は、週次の課題管理と変更管理を行い、要件が増えたときは費用と納期の影響を合意してから進めます。

よくある質問

ゼロトラストの発注では、製品、費用、VPN、外注範囲について同じ疑問が寄せられます。ここでは、発注前に判断しやすいように結論から回答します。

いいえ、MFAはゼロトラストを構成する認証対策の一つであり、それだけで完成とはいえません。端末の健全性、最小権限、アプリ単位の接続、ログ監視、データ保護、退職・異動時のアカウント停止まで組み合わせて設計します。

必ずしもすぐ廃止する必要はありません。オンプレミスの業務アプリ、工場設備、古い端末などは、ZTNAとの接続試験や例外処理を確認したうえで段階的に移行し、VPNを縮小・廃止する方が業務停止のリスクを抑えられます。

外注できます。まずは20〜100ユーザー程度のPoCや、既存のMicrosoft 365を使ったID・端末管理から始め、導入支援と運用監視を分けて委託すると、社内負担を抑えながら進められます。問い合わせ窓口、端末紛失時の復旧、退職者処理など、情シスが少ないからこそ運用範囲を細かく契約します。

要件と対象範囲をそろえたうえで、少なくとも2〜3社から取ると比較しやすくなります。製品ベンダー系、マルチベンダーSIer、運用まで担う会社など、異なる得意領域を含めると、価格だけでなく体制や責任分界の違いも見えます。

いいえ、ゼロトラストは法令対応を支える技術的な考え方であり、導入だけで法令上の義務が完了するわけではありません。個人情報、金融情報、医療情報などの対象データ、委託先、国外クラウド、ログ保存、社内規程を確認し、必要なアクセス制御や監査を要件に落とし込みます。

まとめ

ゼロトラストのシステムを発注・外注するときは、製品を先に決めるのではなく、利用者、端末、アプリ、データ、委託先を棚卸しし、どのリスクをいつまでに減らすかを定義します。そのうえで、現状診断・PoC、確定した設定と移行、運用監視を工程ごとに整理すると、契約と見積もりを比較しやすくなります。

発注前は、対象ユーザー・端末・アプリ・データ、段階移行の順序、MFAや端末条件、ログ保存、障害時の復旧、成果物、運用範囲、契約終了時のデータ返却をRFPに書きます。見積書は初期費用、ライセンス、運用費、追加作業費、教育費、3年総額に分け、数量と作業範囲が見える状態で比較します。

情シスの人数や既存環境に不安がある場合は、全社導入の見積もりをいきなり依頼するより、資産棚卸しと小規模PoCから相談する方法が適しています。自社の業務を止めずに段階導入でき、委託先の技術力や説明力、運用支援の品質も確認できます。

▼全体ガイドの記事
・ゼロトラストのシステム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。