ゼロトラストセキュリティ開発の発注/外注/依頼/委託方法について

ゼロトラストセキュリティ開発の発注では、MFAやVPNの置き換えだけでなく、ユーザー・端末・アプリ・データを継続的に検証する設計と運用まで委託範囲に含めることが成功の条件です。

本記事では、ゼロトラストセキュリティを発注・外注・委託するときの進め方を、発注形態の選択、RFPと要件整理、契約形態、費用相場、委託先の選び方、見積比較のポイントに沿って解説します。既存のActive Directory（AD）、VPN、オンプレミス業務システムをすべて廃止する前提にはせず、小さなPoCから段階的に移行し、現場の利便性とセキュリティを両立するための判断基準を整理します。

▼全体ガイドの記事
・ゼロトラストセキュリティ開発の完全ガイド

ゼロトラストセキュリティの発注・外注とは何ですか？

ゼロトラストセキュリティの発注とは、特定の製品を買うだけではなく、保護対象の整理、認証・認可、端末管理、アプリ接続、ログ監視、インシデント対応を自社の業務に合わせて設計し、必要な範囲を外部のSIerや専門会社へ委託することです。NIST SP 800-207が示すゼロトラストは、ネットワークの場所だけを理由に暗黙の信頼を与えず、リソースへのアクセス前に認証・認可を行う考え方です（出典: NIST「SP 800-207」、2020年）。

ゼロトラスト対応と書かれた製品を一つ導入しても、ID情報が古いまま、退職者のアカウントが残ったまま、端末の健全性を判定できないままでは、アクセス制御の精度は上がりません。IDaaSやSSO、MFA、MDM・UEM、EDR、ZTNA、SASE、DLP、SIEM、SOCなどを、守る業務と利用者のリスクに応じて組み合わせる必要があります。

発注前は、(1)ID・認証、(2)端末・ワークロード、(3)ネットワーク・アプリ接続、(4)データ保護、(5)可視化・運用の5層に分けて現状を整理します。たとえば、MFAを先に整える会社、リモートアクセス対象の業務アプリをZTNAへ移す会社、端末台帳とEDRから着手する会社では、同じゼロトラストでも優先順位が異なります。

目的を「ゼロトラストを導入する」とだけ書くと、製品数や機能の多さが評価され、現場のログイン時間や運用負荷が見えなくなります。ランサム攻撃、委託先・サプライチェーン、AI利用、脆弱性、リモートワーク環境への攻撃は、IPA「情報セキュリティ10大脅威 2026」の組織向け脅威として整理されています。守るべき顧客情報や基幹業務を明確にし、侵害時の影響と復旧時間を下げる目的で発注することが重要です（出典: IPA「情報セキュリティ10大脅威 2026」、2026年）。

発注形態はどのように選べばよいですか？

発注形態は、クラウド・SaaSの標準機能を自社で設定する方法、製品と導入支援をまとめて委託する方法、複数製品をSIerに統合してもらう方法、独自の認証認可や業務連携を個別開発する方法に分けられます。結論として、標準機能で満たせる領域はクラウド型を使い、既存システム連携や運用設計に専門性が必要な領域は導入支援・マネージド型へ委託する組み合わせが現実的です。

すでにMicrosoft 365やGoogle Workspaceを利用している場合は、契約済みのID、端末管理、条件付きアクセス、監査ログを活用できる可能性があります。追加契約を検討するときは、ライセンスの機能だけでなく、対象ユーザー、端末、ゲスト、管理者、ログ保管、API、サポートの課金単位を確認します。自社設定は初期費用を抑えやすい一方、設計ミスや例外ポリシーの放置が起こりやすいため、設計レビューだけ外注する方法も有効です。

IDaaS、MDM、EDR、ZTNA、SASE、SIEMなど複数のサービスを使い、既存ADやオンプレ業務システムまで接続する場合は、統合設計が必要です。SIerやセキュリティ専門会社へ、現状診断、ロードマップ、設計、設定、移行、教育、SOC・MDRをまとめて委託すると、責任分界を整理しやすくなります。ただし、24時間監視に含まれる一次対応の範囲、インシデント時の連絡、ログの所有権、他社へ移行できるデータ形式を契約前に確認します。

独自の属性ベースアクセス制御、社内固有の認証基盤、特殊な業務アプリ連携など、標準機能では対応できない要件がある場合は個別開発が候補になります。一方、認証基盤や暗号、ログ収集を一から作ると、脆弱性対応、製品更新、監視、障害対応まで自社責任が広がります。標準機能と個別開発の境界をRFPに明記し、独自開発は業務上の差別化に必要な部分へ絞ることが安全です。

RFPと要件整理では何を決めますか？

RFPは、ベンダーへ「何を、なぜ、どの条件で提案してほしいか」を伝える文書です。製品名だけを列挙するのではなく、対象ユーザー、端末、拠点、業務システム、データ、現状の課題、希望時期、予算の考え方、評価方法、納品物、運用範囲を記載します。デジタル庁の標準ガイドラインには調達仕様書や要件定義書の標準テンプレートも掲載されており、記載項目を洗い出す際の参考になります（出典: デジタル庁「デジタル社会推進標準ガイドライン」、2026年7月更新）。

最初に、従業員、派遣社員、取引先、退職者、共有アカウント、特権アカウントを洗い出します。次に、PC、スマートフォン、サーバー、クラウド、開発端末、IoT機器と、各端末の所有者、OS、暗号化、EDR、パッチ状況を整理します。さらに、基幹システム、ファイルサーバー、SaaS、開発環境、個人情報や機密情報の保管場所をつなぎ、侵害された場合の業務影響、許容停止時間、復旧優先度を評価します。

「MFAを導入する」だけでは、発注先が同じ言葉で別の機能を提案する可能性があります。「社外から販売管理へアクセスするとき、在籍中の従業員で、管理端末かつ最新パッチ適用済みの場合だけ許可し、異常な国や時間帯なら追加認証を要求する」というように、利用者、端末条件、接続元、対象アプリ、許可・拒否、ログ、例外の期限を一つのシナリオで記述します。管理者が退職者の権限を何分以内に止めるか、委託先アカウントをどの期間だけ有効にするかも要件に含めます。

非機能要件には、可用性、認証応答時間、障害時の復旧目標、ログ保存期間、個人情報の保管場所、暗号化、監査証跡、拡張性、サポート時間を入れます。ゼロトラストでは、セキュリティを高めるほどログインや問い合わせが増える場合もあるため、未管理端末の検知数、過剰権限の削減数、退職者アカウント停止時間、認証エラー率、ヘルプデスク件数、インシデント検知時間などをKPIに設定します。

ゼロトラスト開発を外注する進め方

外注の工程は、現状診断、基本方針、PoC、詳細設計、構築・連携、段階展開、運用引き継ぎの順に進めると、要件と費用の関係を確認しやすくなります。すべての拠点とシステムを一度に切り替えるのではなく、利用者と業務アプリを限定して成功条件を検証し、問題がなければ対象を広げます。NIST SP 1800-35は、商用技術を組み合わせた19種類のZTA実装例を示しており、単一製品ではなく複数の実装パターンから自社に合う方式を検討できることが分かります（出典: NIST「SP 1800-35」、2025年）。

現状診断では、IDの発生源、人事マスタとの連携、共有アカウント、VPN経路、端末台帳、クラウド利用、公開資産、ログの収集状況、委託先の接続方法を確認します。そのうえで、短期はSSO・MFAと端末台帳、中期はEDR・ZTNA・アプリ単位の接続、長期はDLP・SIEM・SOC・アクセスレビューというように、事業影響と実装難度を踏まえてロードマップを作ります。期限のない例外ポリシーを残さないことも重要です。

PoCの対象は、30〜100ユーザー、1〜3個のSaaSや業務アプリ、代表的な端末と利用シーンに限定すると評価しやすくなります。確認項目は、認証の成功率、ログインにかかる時間、未管理端末の遮断、端末紛失時の無効化、アプリの接続経路、ログの検索性、ヘルプデスクへの問い合わせです。予定外の共有アカウントや古いOSが見つかった場合は、製品の問題ではなく業務・資産管理の課題として、改善策と費用を分けて扱います。

本番展開は、部門、拠点、端末、アプリの順で段階を分け、切り戻し条件を決めてから進めます。納品物には、構成図、ポリシー一覧、管理者権限、端末登録手順、例外申請、アクセスレビュー、ログの確認方法、障害・インシデント対応フロー、教育資料を含めます。ベンダーの作業完了だけを検収条件にせず、自社担当者が日常運用と緊急時対応を実行できることを確認します。

契約形態はどのように使い分けますか？

ゼロトラスト案件では、要件が固まる前の診断・企画と、成果物や作業範囲が確定した構築・設定、稼働後の監視・保守を同じ契約に押し込まないことが大切です。準委任、請負、ライセンス・サービス利用契約を役割に応じて分け、変更管理と責任分界を明確にすると、追加費用や検収時の争いを抑えられます。

準委任契約は、現状診断、ロードマップ策定、RFP作成支援、製品選定、設計レビュー、PoC支援、運用改善のように、専門家の作業や知見を提供してもらう場面に向いています。環境差分や社内意思決定によって作業量が変わりやすいため、月次の稼働時間、担当者、会議体、成果物、報告方法、上限工数を定めます。単に作業時間を買うのではなく、毎月何を判断できる状態にするのかを合意します。

請負契約は、合意した設計に基づくテナント設定、ポリシー作成、コネクター構築、データ移行、テスト、手順書など、成果物と完了条件を定義しやすい作業に向いています。認証方式や業務アプリの仕様が未確定なまま請負にすると、変更が追加開発になりやすいため、前段で要件と前提条件を固めます。検収は「設定した」ではなく、代表シナリオを満たし、ログが残り、切り戻しができ、運用担当者が手順を実行できることまで確認します。

IDaaSやSASE、EDR、SIEM、SOCは、利用ライセンスやサービス利用契約として月額・年額で継続します。可用性、サポート受付時間、障害通知、ログの保存期間、データの保管場所、解約時のデータ返却、再委託、インシデント発生時の通知時間を確認します。SOCを付ける場合も、アラートを知らせるだけなのか、封じ込めや端末隔離、フォレンジック、警察・保険会社との連携まで含むのかで、必要な契約と費用は変わります。

ゼロトラストセキュリティの費用相場はいくらですか？

ゼロトラストセキュリティの費用は、ユーザー数だけでなく、端末数、拠点数、既存システム連携、対象アプリ、ログ保管、SOCの監視時間、移行と教育の範囲で変わります。したがって、ここで示す金額は公開料金と導入支援メニュー、類似するセキュリティ統合案件から整理したレンジであり、すべての企業に当てはまる定価ではありません。見積では、初期費用、ライセンス、連携、監視、運用改善を分けて確認します。

NTTPCのSecure Access Gatewayでは、初期料金0円の構成があり、DNSセキュリティは月額500円、セキュアWebゲートウェイは1ユーザーあたり800円、設定代行付きは1,100円、SSOは500円、セキュアエンドポイントは1端末あたり500円、SD-WANは1拠点あたり17,000円と公開されています（税別・一部機能、出典: NTTPC「Secure Access Gateway 料金体系」、2026年確認）。100ユーザー・100端末・1拠点で、DNS、Webゲートウェイ、SSO、エンドポイント、SD-WANを単純合算すると、月額約24万7,000〜27万7,000円が一つの下限目安になります。

ただし、この計算には現状診断、設計、既存業務システム連携、端末展開、ログ分析、SOC、教育、運用改善は含まれません。Microsoft 365の2026年7月改定では、米国ドルの公式価格としてMicrosoft 365 E3が39ドル、E5が60ドル、Entra Plan 1が7ドル、Plan 2が10ドルと示されていますが、国・通貨・契約期間で変わります（出典: Microsoft「Microsoft 365 Pricing and Packaging Updates」、2026年7月）。既存契約の機能を確認してから追加ライセンスを見積もることが大切です。

30〜100ユーザーを対象にSSO・MFA、端末管理、1〜3個のアプリを検証する小規模PoCは、初期50万〜200万円程度、期間1〜3か月が一つの目安です。100〜300ユーザーで、ZTNA・SWG、MDM・EDR、複数SaaS、オンプレミスの1〜3システム連携まで含める中規模導入は、初期500万〜1,500万円程度、月額20万〜80万円程度、期間3〜9か月程度を見込むケースがあります。

1,000ユーザー超、多拠点、複数クラウド、レガシー業務システム、SIEM・SOC、海外拠点を含む大規模案件では、初期1,500万〜5,000万円以上、月額100万〜500万円以上、期間6〜18か月以上になる可能性があります。これはユーザー数だけでなく、端末展開、ネットワーク経路、ログ保存、24時間監視、段階移行、冗長化、教育まで含めるためです。金額は要件が確定するほど狭いレンジになります。

見積書では、現状診断・ロードマップ、基本設計・RFP支援、ライセンス・サービス利用料、設定・構築・既存システム連携、端末展開・教育、ログ監視・SOC・保守の6項目を分けます。特に、ライセンスが安く見えても、連携用コネクター、ユーザー追加、ログ保管容量、API、サポート、端末交換、現地作業が別料金になる場合があります。Cloudflareは無料プランからPoCを始められる案内を掲載していますが、Cloudflare OneのSASEパッケージは営業への問い合わせを案内しており、企業向けの価格は契約条件で変わります（出典: Cloudflare「Zero Trust & SASE Plans & Pricing」、2026年確認）。

委託先の選定と見積比較で確認すべきポイント

委託先は、製品の販売実績だけでなく、診断、設計、構築、移行、運用、監視、事故対応のどこまで担当できるかで比較します。候補会社が自社と同じ規模・業界・オンプレ比率の案件を経験しているか、PoCから本番へ進める体制があるか、製品を一つに固定せず要件から選べるかを確認します。会社の知名度や製品名だけで順位を決めないことが重要です。

事例を確認するときは、ユーザー数、端末数、拠点数、既存ADやVPNの有無、対象アプリ、クラウドとオンプレミスの比率、移行期間、運用体制を聞きます。「ゼロトラストを導入した」という実績だけでは、認証製品を納品したのか、アプリ接続まで設計したのか、24時間監視を運用したのか分かりません。可能であれば、提案担当者だけでなく、設計者、移行責任者、SOC責任者にも説明してもらいます。

複数社へ見積を依頼するときは、ユーザー数、端末数、拠点数、アプリ数、対象ログ、PoC期間、移行対象、教育回数、サポート時間、監視時間を同じ前提にします。見積書は、作業項目、工数、単価、ライセンス数量、契約期間、前提条件、除外事項、追加変更の単価、納期、検収条件を確認します。A社は初期費用が安くても運用が別、B社は初期費用に設計と教育が含まれるという差があるため、総保有コストで比較します。

運用では、権限申請、異動・退職、端末紛失、例外の期限、脆弱性対応、ログレビュー、インシデント訓練、定例報告の担当を決めます。さらに、管理者アカウント、ポリシー、ログ、設定情報、運用手順を誰が所有するか、契約終了後にデータをどの形式で返却するか、別会社へ移管できるかを確認します。特定製品に強い会社でも、代替製品との比較や移行条件を説明できる委託先であれば、将来の選択肢を残しやすくなります。

よくある質問（FAQ）

ゼロトラストセキュリティの発注では、既存環境を残せるか、どのくらいの費用になるか、何を自社で担当すべきかがよく問われます。ここでは、委託前に特に確認したい質問へ直接回答します。

すぐに廃止する必要はありません。対象アプリと利用者を選び、ZTNAなどのアプリ単位アクセスを検証し、接続品質、認証、ログ、切り戻しを確認してから段階的にVPNの範囲を縮小します。古い業務システムや特殊な通信が残る場合は、VPNを限定的に残し、期限と代替計画を決めて運用します。

外注できます。最初から全社の高度なSOCを契約するのではなく、現状診断、SSO・MFA、端末台帳、条件付きアクセス、重要アプリの接続制御など、効果を確認しやすい範囲から始めます。30〜100ユーザー程度のPoCで要件を検証し、運用担当者の時間と問い合わせ件数を把握してから、EDR、ZTNA、ログ監視へ広げると予算を管理しやすくなります。

必ずしも全社が同じ監視時間を契約する必要はありません。重要業務の停止許容時間、夜間・休日の担当者、インシデント時に実行できる封じ込め、法令や取引先から求められる証跡を基準に判断します。SOCを契約する場合は、検知通知だけか、一次切り分け、端末隔離、封じ込め、復旧支援、月次レポートまで含むかを分けて確認します。

相談できますが、候補会社へ同じ条件で提案を求めるなら、最低限の要件メモを作ることをおすすめします。ユーザー数、端末数、拠点、既存ID基盤、VPN、守る業務システム、困っている事象、希望時期、運用体制、予算の上限、PoCの対象を整理すると、初回相談から現実的な提案を受けやすくなります。RFP作成そのものを準委任で支援してもらい、その後に構築会社を公募する方法もあります。

まとめ

ゼロトラストセキュリティの発注では、製品名や初期費用だけでなく、保護対象、段階移行、運用責任、ログとデータの所有、インシデント対応までを一つの計画として整理します。クラウド・SaaS型、統合SI・マネージド型、スクラッチ型を要件に応じて使い分け、RFPでは業務シナリオ、非機能要件、KPI、納品物、検収条件を具体化します。

まずはID、端末、アプリ、データ、ログの現状を棚卸しし、30〜100ユーザー程度のPoCで認証強度と業務影響を測ります。見積は初期設計、ライセンス、連携、端末展開、教育、SOC・保守を分け、複数社を同じ前提で比較します。金額の安さだけでなく、既存環境を理解し、運用と移行まで責任を持てる委託先を選ぶことが、長く使えるゼロトラスト基盤につながります。

ゼロトラストは稼働日に完成するものではなく、権限レビュー、端末の更新、例外の削減、脅威情報の反映を続ける取り組みです。契約時点で、月次レビューの指標、ポリシー変更の手順、追加作業の単価、障害・事故時の連絡先を決めておくと、導入後も安全性と使いやすさを改善しやすくなります。

▼全体ガイドの記事
・ゼロトラストセキュリティ開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。