ゼロトラストセキュリティ開発の進め方/やり方/流れや方法/手法/工程/手順

ゼロトラストセキュリティ開発は、社内ネットワークにいる人や端末を無条件に信用せず、ユーザー・端末・アプリケーション・データの状態を確認してアクセスを許可する仕組みを、段階的に設計・導入する進め方です。

「MFAを導入すれば終わり」「VPNを廃止すればゼロトラストになる」と考えると、既存のADやオンプレミス業務システムとの連携、現場の利用負担、導入後の運用でつまずきます。本記事では、要件整理から選定、設計・開発、テスト、稼働、定着までの6フェーズを軸に、実務で使える判断基準、チェックリスト、費用相場、見積もりの確認ポイントを解説します。

▼全体ガイドの記事
・ゼロトラストセキュリティ開発の完全ガイド

ゼロトラストセキュリティ開発の全体像

ゼロトラストは製品名ではなく、アクセスの判断をネットワークの場所から切り離す設計思想です。守る対象と利用者を整理し、認証・端末状態・アクセス先・データの機密度・直近のリスクを組み合わせて、必要最小限の権限を必要な時間だけ付与します。したがって、導入の成否は製品の機能数より、業務要件をポリシーへ落とし込み、例外を含めて運用できるかで決まります。

ゼロトラストセキュリティとは、社内・社外というネットワークの境界だけで信頼を判断せず、保護対象へ接続するたびに認証と認可を行う考え方です。NIST SP 800-207は、ネットワークの場所や資産の所有を理由に暗黙の信頼を与えず、リソースへのセッション確立前に認証・認可するアーキテクチャとして整理しています。2025年6月公開のNIST SP 1800-35では、24の協力組織と商用技術を組み合わせた19種類の実装例が示されており、単一製品ではなく複数の技術を統合して実現するものだと分かります。出典はNIST SP 1800-35（2025年）です。

実装の中心は、ID・認証、端末・ワークロード、ネットワーク・アプリ接続、データ保護、可視化・運用の5層です。たとえばSSOと多要素認証だけでなく、端末が暗号化されパッチ適用済みか、アクセス先が許可された業務アプリか、機密データの持ち出しを監視できるかまで確認します。

最初の会議では、製品名ではなく「何を守るか」を5層で書き出します。ID・認証では人事マスタ、SSO、MFA、FIDO2、入社・異動・退職時のアカウント無効化を確認します。端末ではPCやスマートフォンの台帳、MDM・UEM、EDR、暗号化、パッチ適用状況を確認します。ネットワーク・アプリ接続ではVPN経路をアプリ単位のZTNAへ移せるかを調べます。

データ保護では、個人情報・財務情報・ソースコードなどの分類、暗号化、DLP、クラウドストレージや生成AIへのアップロード制御を決めます。可視化・運用では、認証ログ、端末ログ、アプリ利用ログをどこへ集め、何日保管し、誰がアラートを一次対応するかを決めます。この5層のうち、現状のリスクが大きく、かつ短期間で効果を測定できる層を最初の対象にします。

ゼロトラストセキュリティ開発の進め方

進め方の基本は、要件整理、選定、設計・開発、テスト、稼働、定着の6フェーズです。実際には一度に全社へ展開せず、対象ユーザー・端末・アプリを限定したPoCから始め、結果を反映しながら段階的に広げます。NISTの実装例やNTTドコモビジネスの導入手順でも、現状分析から全体設計とロードマップを作成し、ID統制、端末統制、データ保護・ログ分析へ移行する考え方が示されています。

最初に「ゼロトラストを導入する」という抽象的な目的を、業務上の要求へ翻訳します。守るデータ、対象アプリ、利用者の種類、端末の種類、拠点、委託先、海外アクセス、許容停止時間、法令・取引先要件を一覧にします。たとえば「退職者のアカウントを当日中に無効化する」「管理外端末から顧客データへアクセスさせない」「在宅勤務でも基幹システムの操作ログを追跡できる」といった形です。

要件整理時のチェック項目は、(1)ユーザーと人事マスタが一致しているか、(2)共有アカウントが残っていないか、(3)端末台帳と実際の端末が一致しているか、(4)VPN経由で接続するアプリを把握しているか、(5)重要データの保管場所と管理者を特定できるか、(6)障害時に業務を継続する代替手順があるか、の6つです。MUSTとWANTを分け、最初のPoCではMUSTに絞ることで、過剰な製品導入を防ぎます。

選定では、IDaaS、MDM・UEM、EDR、ZTNA、SASE・SSE、CASB、DLP、SIEM、SOC・MDRを必要な範囲で組み合わせます。既にMicrosoft 365やGoogle Workspaceを契約している場合は、その契約で使える条件付きアクセス、端末管理、監査ログを先に確認します。既存契約を活用できればライセンスの重複を抑えられますが、機能の有効化やポリシー設計、既存ADとの連携は別の作業として見積もります。

ベンダー比較では、製品の機能表だけでなく、現状診断、設計、移行、利用者教育、24時間監視、インシデント時の一次対応、ログの返却、契約終了後の移行支援まで確認します。提案書に「同規模・同業界・同じオンプレ比率の実績」「PoCの対象と合格条件」「追加変更の単価」「障害時のロールバック方法」が書かれていない場合は、契約前に質問します。

設計では、誰が、どの端末から、どのアプリへ、どの条件で、何をできるかをポリシーに落とし込みます。全員に一律の制限をかけるのではなく、職種、役職、データ分類、端末の準拠状態、アクセス元、時間帯、リスクスコアで条件を分けます。たとえば営業担当者は管理端末からSaaSへ接続でき、私物端末は閲覧だけ、特権管理者はFIDO2と専用端末を必須にする、といった設計です。

開発・構築の主な作業は、ディレクトリや人事マスタとの連携、SSO・MFA設定、条件付きアクセス、端末登録、EDR導入、アプリ単位の接続設定、ログ転送、アラート通知、権限レビューの自動化です。オンプレミスの基幹システムでは、認証方式、古いプロトコル、固定IPを前提とした連携、バッチ処理、共有アカウントの有無を確認します。標準機能で足りる部分は設定・連携で実現し、独自開発は固有業務に不可欠な認可やデータ連携へ限定します。

ゼロトラストのテストは、ログインできるかだけを確認するものではありません。正常系では、許可されたユーザーと準拠端末が対象アプリへ接続できることを確認します。異常系では、退職者、未管理端末、古いOS、期限切れの端末証明書、国外アクセス、短時間の大量ダウンロード、権限のない管理操作を再現し、遮断・通知・記録が期待どおりかを確認します。

利用部門を含む受入テストでは、ログイン時間、認証失敗、ヘルプデスク問い合わせ、業務アプリの応答、印刷やバッチなど周辺機能まで測定します。PoCの合格条件は「MFAを有効化した人数」ではなく、未管理端末の遮断率、過剰権限の削減数、アラートから一次対応までの時間、問い合わせ件数、業務停止ゼロなど、導入目的に直結する指標にします。失敗時に旧経路へ戻すロールバック条件も、テスト前に決めておきます。

本番稼働は、部門・アプリ・端末のまとまりごとに分けます。最初はIT部門やセキュリティ部門など、問い合わせ対応と設定変更がしやすい利用者で始め、次に業務影響が比較的小さい部門、最後に基幹システムや現場端末へ広げます。各波次で、対象者、変更日時、必要な利用者案内、切り戻し担当、問い合わせ窓口、判断会議を明確にします。

稼働日に見るべき項目は、認証成功率、アクセス拒否の理由、重要アプリの利用状況、端末の準拠状態、ログ欠損、アラートの誤検知、サポート問い合わせです。例外をその場しのぎで恒久許可にせず、理由、対象、承認者、有効期限、代替策を記録します。特に共有アカウントや古い業務端末は、いきなり停止すると業務が止まるため、個人アカウント化や端末更新の計画とセットで扱います。

ゼロトラストは稼働日で完成しません。人事異動・退職・委託先の契約終了に伴う権限変更、端末の紛失、脆弱性、業務の追加、クラウドサービスの増加に応じてポリシーを見直します。月次では例外と過剰権限をレビューし、四半期ごとに重要アプリのアクセス権、端末台帳、ログ保管、インシデント対応訓練を確認します。

利用者教育では、MFAを求める理由だけでなく、本人確認を回避する依頼への対応、承認されていないクラウドや生成AIへのデータ投入、端末紛失時の連絡先を伝えます。運用チームには、アラートの優先順位、誤検知の調整、例外の期限切れ、委託先へのエスカレーション、証跡の保存方法を手順書として渡します。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの1位がランサム攻撃による被害であり、委託先・サプライチェーンや脆弱性など複数の脅威も選定されています（出典: IPA「情報セキュリティ10大脅威 2026」、2026年）。ゼロトラストの運用も、自社だけでなく委託先や外部利用者まで含めて継続する必要があります。

ゼロトラストセキュリティの費用相場とコストの内訳

ゼロトラストの費用は、製品ライセンスだけでなく、現状診断、設計、端末展開、既存システム連携、テスト、教育、ログ監視、SOC・MDR、運用改善に分けて考えます。対象ユーザー数、端末数、拠点数、オンプレミス資産、アプリ数、監視時間、ログ保管期間で大きく変わるため、以下は要件を限定した目安です。相場の数字をそのまま予算化せず、自社の対象範囲を掛け合わせてください。

現状診断、資産棚卸し、ロードマップ策定だけであれば、100万〜300万円程度が一つの目安です。30〜100ユーザーを対象に、SSO・MFA、端末チェック、1〜3個のアプリを試す小規模PoCは、初期50万〜200万円程度、期間1〜3か月程度を見込みます。ただし、既存ADの整理、端末の現地展開、利用者教育を含む場合は増額します。

100〜300ユーザーで、ZTNAまたはSWG、MDM・EDR、複数SaaS、オンプレミスの1〜3システムを連携する中規模導入は、初期500万〜1,500万円程度、月額20万〜80万円程度、期間3〜9か月程度が目安です。1,000ユーザー超、多拠点、複数クラウド、レガシー業務システム、SIEM・SOC、海外拠点まで対象にすると、初期1,500万〜5,000万円以上、月額100万〜500万円以上、期間6〜18か月以上になるケースもあります。いずれも公式一律価格ではなく、公開料金と統合案件の規模感から整理した概算です。

公開価格の例として、NTTPCのSecure Access Gatewayは初期料金0円の構成を示し、DNSセキュリティが月額500円、セキュアWebゲートウェイが1ユーザー月額800円または設定代行付き1,100円、SSOが1ユーザー月額500円、セキュアエンドポイントが1端末月額500円、SD-WANが1拠点月額17,000円です（出典: NTTPC「Secure Access Gateway 料金体系」、2026年確認）。100ユーザー・100端末・1拠点で機能を単純に組み合わせると、月額約24.7万〜27.7万円がサービス料金の下限目安になりますが、設計、既存システム連携、SOC、SIEM、教育は含まれません。

Microsoft 365を利用する企業は、既存ライセンス内の機能と追加ライセンスを分けて確認します。Microsoftの公式価格表では、2026年7月1日から米国向け商用価格としてMicrosoft 365 E3が1ユーザー月額39ドル、E5が60ドル、Entra Plan 1が7ドル、Plan 2が10ドルと示されています。日本の価格、契約形態、為替、既存契約によって変動するため、1ドル150円などの換算額を確定価格として扱わず、見積時点の販売価格で再確認します。出典はMicrosoft「Microsoft 365 Pricing and Packaging Updates」（2026年7月）です。

ゼロトラストセキュリティの見積もりを取る際のポイント

ゼロトラストの見積もりは、安い順に並べるだけでは比較できません。同じ対象範囲、同じ移行方式、同じ運用時間で揃え、初期費用と月額費用の境界を明確にします。特に「設定一式」「導入支援一式」「運用保守一式」のような一括項目は、含まれる作業と回数を分解して確認します。

見積依頼書には、ユーザー数、端末数、拠点数、OS、既存ID基盤、ADの構成、対象アプリと認証方式、VPNの利用状況、守るデータ、希望する稼働時期、対応時間、ログ保管期間を記載します。委託先や取引先のアカウント、私物端末、海外拠点、工場や店舗などネットワーク条件が異なる環境も、対象外にするなら明記します。

成果物も確認が必要です。現状分析書、構成図、アプリ一覧、アクセス制御マトリクス、ポリシー一覧、テスト計画・結果、移行計画、運用手順書、教育資料、ログ設計、障害時の切り戻し手順が納品されるかを確認します。口頭説明だけでなく、次の担当者が設定を変更できるドキュメントが残るかが、長期運用の費用と品質を左右します。

比較先は、製品メーカー、クラウド・ネットワーク事業者、セキュリティ専門会社、独立系SIerを混ぜると違いが見えます。各社に同じRFPを渡し、(1)診断から運用までの対応範囲、(2)自社と似た事例、(3)対応するID・端末・ZTNA・EDR製品、(4)導入後の変更費用、(5)SOCの監視時間と一次対応、(6)インシデント時の責任分界、(7)ログや設定の返却条件を質問します。

特定製品ありきの提案になっていないかも判断材料です。既存契約を活用する案、複数製品を統合する案、運用をマネージドサービスへ委託する案を比較し、それぞれの費用・期間・将来の移行しやすさを並べます。見積額が低くても、端末展開、アプリ側の改修、利用者サポート、ログの保管や監視が別途なら、総額では高くなる可能性があります。

MFAや端末チェックを強化すると、認証回数や端末登録が増え、現場の負担が高まることがあります。ログイン時間、問い合わせ件数、業務アプリの応答をPoCで測定し、必要な場合はSSO、パスキー、条件付きアクセス、段階的なポリシー適用を組み合わせます。セキュリティを理由に業務が回らなくなると、共有アカウントや無断クラウド利用など別のリスクを招くためです。

例外は、理由、リスク、承認者、対象、期限、代替策を記録し、期限前に再審査します。契約面では、ログの所有権、データ保管場所、設定情報の返却、APIや標準形式でのデータ出力、製品変更時の通知、解約時の支援を確認します。ゼロトラストは継続的に変更する仕組みなので、導入時の価格よりも、追加ポリシーやアプリ連携をどの単位で変更できるかが重要です。

ゼロトラストセキュリティ開発でよくある質問

ここでは、導入前に特に相談が多い疑問へ回答します。自社の環境によって最適な方式は変わるため、一般論をそのまま適用せず、対象範囲と業務影響を確認しながら判断してください。

MFAだけではゼロトラストになりません。MFAは本人確認を強化する重要な要素ですが、端末の健全性、アクセス先のアプリ、権限の最小化、データ保護、ログ監視、異動・退職時の権限削除まで組み合わせて、アクセスを継続的に評価する必要があります。まずMFAから始めることは有効ですが、次の段階として端末管理とアクセスレビューを計画します。

一度に廃止する必要はありません。既存VPNを残しながら、SaaSやリモートアクセス対象の一部をZTNAへ移し、認証・端末条件・ログを比較する段階移行が現実的です。古いプロトコルや固定IPを前提としたオンプレミス業務システムは、アプリ側の改修や中継方式を検討し、並行稼働と切り戻し手順を準備してから移行します。

まず人事マスタとアカウントを整理し、SSO・MFA、端末台帳、端末の暗号化とパッチ適用、重要SaaSのアクセスログを整えることをおすすめします。30〜100ユーザー程度のPoCで、1〜3個のアプリと代表的な端末を対象にし、認証の利便性、未管理端末の遮断、問い合わせ件数、退職者アカウントの無効化を測定します。結果を見てEDR、ZTNA、DLP、監視サービスへ広げると、投資の優先順位を説明しやすくなります。

まとめ

ゼロトラストセキュリティ開発は、製品を一括導入するプロジェクトではなく、業務の保護対象とアクセス条件を整理し、運用しながら改善する取り組みです。要件整理では守る対象とMUST・WANTを分け、選定では製品だけでなく設計・移行・監視・事故対応まで比較します。設計・開発ではID、端末、アプリ、データ、ログのポリシーを連携させ、テストでは認証成功だけでなく業務影響と切り戻しを確認します。

費用は、現状診断、初期設計、端末展開、既存システム連携、ライセンス、監視、教育、運用改善を分けて見積もります。まずはSSO・MFAと端末台帳、重要アプリのアクセス制御から小さく始め、PoCのKPIを確認したうえでZTNA、EDR、DLP、SIEM・SOCへ段階的に広げると、セキュリティと現場の利便性を両立しやすくなります。

要件整理で守る対象と成功条件を定め、選定で既存契約や支援範囲を比較し、設計・開発でアクセス条件と連携を実装します。その後、業務影響を含むテスト、段階的な稼働、例外管理と教育を行います。各フェーズの成果物と判断基準を残すことで、担当者が変わっても改善を続けやすくなります。

初期費用、ライセンス、端末展開、既存システム連携、監視、教育、運用改善を分け、ユーザー数・端末数・拠点数・アプリ数・監視時間を前提にして比較します。公開価格はサービス料金の参考として使い、設計や運用を含む総額は自社要件を示したRFPで確認することが重要です。

▼全体ガイドの記事
・ゼロトラストセキュリティ開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。