ZTNA（ゼロトラスト ネットワーク アクセス）とは？

ZTNAが現在重要なのは、現代の業務が分散化され、アプリケーション環境がデータ センター、複数のクラウド、SaaSにまたがっているためです。従来のリモート アクセス方式、特にVPNは、こうした環境においてネットワーク中心で範囲が広すぎる傾向があり、運用の複雑性を高めるとともに、認証情報が侵害された場合の影響範囲を拡大させます。

AIによって、こうしたリスクはさらに高まっています。AIは、従来のアクセス モデルで対応できるように設計されていた速度を上回るペースで進化しているためです。担当部門がコパイロット、エージェント、AIを活用したワークフローを導入するなかで、ZTNAはアクセスをアイデンティティー、コンテキスト、最小特権に結び付けることで、新しいツールによって機密性の高いアプリケーションやデータへの新たな侵入経路が気付かないうちに生じることを防止します。

ZTNAは、場所を問わずあらゆるユーザーに内部アプリケーションへの安全なアクセスを提供するとともに、重要なリソースの露出を軽減します。その基盤となるのは、ネットワーク中心のリモート アクセスとは根本的に異なるアーキテクチャーです。

ソフトウェア定義境界(SDP)を利用するZTNAは、アイデンティティーベースの安全なアクセス制御を施行し、ユーザー アイデンティティー、デバイスの状態、ロケーションなどのコンテキストに基づいてアクセスを継続的に評価します。

ZTNAの4つの基本原則：

• アプリケーション アクセスをネットワーク アクセスから分離：ユーザーを「ネットワーク上」に配置するのではなく、特定のアプリケーションへのアクセスを許可することで、侵害されたデバイスや認証情報によるリスクを軽減します。
• インフラを不正ユーザーから見えなくする:アウトバウンドのみの接続により、アプリやIPアドレスがインターネットに直接露出することを防ぎ、検出やスキャンのリスクを軽減します。
• 1対1のアプリレベルのセグメンテーションを施行：ユーザーには承認されたアプリケーションのみへのアクセスを許可することで、ラテラル ムーブメントを減らし、アカウントが侵害された場合の影響範囲を限定します。
• 境界ベースのセキュリティではなく、ユーザーとアプリ間のモデルを使用：検証済みのユーザーと特定のアプリケーションを接続する暗号化されたマイクロトンネルを介してアクセスを確立します。

ZTNAとVPNはいずれもリモート アクセスの課題を解決しますが、そのアプローチは正反対です。以下の表では、それぞれのアプローチが、信頼、アクセス、露出、運用、ユーザー エクスペリエンスをどのように扱うかを示しています。

ZTNAは、最小特権アクセスと一元化された制御と可視性を組み合わせることで、セキュリティ態勢と運用上の俊敏性を向上させます。

セキュリティ上のメリット

• インフラを不可視化：承認されたユーザーは企業ネットワークを広範に露出することなく、アプリケーションにアクセスできます。
• 制御と可視性を強化：一元化された管理環境により、きめ細かいポリシー、リアルタイムのアクティビティー可視化、ユーザーやグループに対する動的な施行が可能になります。
• アプリ セグメンテーションを簡素化：セグメンテーションをアプリケーションレベルで施行することで、複雑なネットワーク セグメンテーション プロジェクトへの依存を軽減します。
• SASEと統合：ZTNAは一般にセキュア アクセス サービス エッジ(SASE)アーキテクチャーの一部として、SD-WANや次世代ファイアウォール サービスなどの機能と組み合わせて利用できます。

運用上のメリット

• 従来のリモート アクセス アプライアンスへの依存を軽減：リモート アクセスをソフトウェアで提供される制御に移行します。
• 簡素化されたスケーリング：規模拡大を簡素化：規模拡大は、主に容量とライセンスの調整で対応でき、アプライアンスを追加導入する必要がありません。
• より迅速な導入：クラウドで提供されるアプローチは、アプライアンスに大きく依存するモデルよりも迅速に導入できます。

最新のZTNAでは、機械学習(ML)を組み合わせて、疑わしいアクセス行動をリアルタイムで検知するケースが増えています。攻撃者が有効な認証情報やトークンの窃取、MFA疲れの手口を利用する場合、特に重要となります。

MLによってZTNAの判断を強化する方法

• 侵害されたユーザーの検知：MLモデルは、異常なログイン速度、通常とは異なるデバイス フィンガープリント、不可能な移動、通常とは異なるアクセス時間、突然の権限やリソースの変更などのシグナルを関連付けることで、リスクの高いセッションを特定できます。
• ユーザー、デバイス、アプリ全体の異常検知：行動ベースライン(ユーザー、役割、アプリごと)を設定することで、通常とは異なるデータ ダウンロード量、ほとんど利用されていないアプリケーションへのアクセス、ポリシーによる拒否の繰り返し、水平方向の新たな探索パターンなどの逸脱を検知できます。
• 脅威パターンの認識と自動対応：MLを活用したエンジンは、クレデンシャル スタッフィング、トークン リプレイ、自動化された偵察に一致するパターンを認識し、ステップアップ認証、セッションの終了、デバイスの隔離、ユーザー/グループに対するポリシーの厳格化などの対応を実行できます。

確認すべきポイント(実用面での成果)

• セッション/ユーザーごとのリスク スコアリング
• 継続的な評価(ログイン時だけではない)
• ポリシーの自動適応(ステップアップ認証、アクセス制限、ブロック)
• SIEM/SOAR、IdP、エンドポイント/UEMのシグナルとの統合による、より強固な検知

組織がAI/MLワークロードや生成AIアプリケーションを導入するなかで、ZTNAは誰が(何に)どのような条件下でこれらにアクセスできるかを制限することで、機密性の高いモデル、データセット、AIを活用したサービスの保護を支援できます。

AI/MLアプリケーションとパイプラインの保護

• モデル エンドポイントとAIツールへの安全なアクセス：アイデンティティーとデバイスの状態に基づくポリシーを適用し、モデル提供用エンドポイント、フィーチャー ストア、ベクトル データベース、ノートブック、CI/CDシステム、MLOpsプラットフォームへのアクセスを制御します。
• AIデータへの最小特権アクセス：ユーザー/グループベースのアクセス制御を適用し、トレーニング データ、埋め込み、評価用データセット、内部APIへのアクセスを制限します。コンテキストベースのポリシーを活用することで、管理対象外のデバイスやリスクの高いデバイスによる露出を軽減します。
• プロンプト インジェクションと安全でないツール利用の防止：ZTNAは生成AIアプリにアクセスできるユーザーを制限し、リスクの高いコンテキストではより強固な認証を施行するとともに、ツール呼び出しを行うバックエンドや機密性の高い内部アプリへのアクセス経路を制限することで、プロンプト インジェクションの発生可能性と影響を軽減できます。

より高度な導入では、生成AIセキュリティをエッジでのコンテンツ検査やポリシー制御(多くの場合、より広範なSSE/SASEスタックの一部)で補完します。特に、データ漏洩の防止やリスクの高いプロンプト パターンへの対応に有効です。

AIに特化したポリシーの例

• モデル管理コンソールへのアクセスは、管理対象デバイスと正常な態勢を必須とする
• 推論エンドポイントへのアクセスは、承認されたユーザー グループと承認された地域からのアクセスに限定する
• トレーニング データセットや機密性の高いプロジェクトへのアクセスは、ステップアップ認証を要求する
• サードパーティーによるアクセスは、特定のAIアプリに制限し、より広範なネットワーク アクセスは許可しない

ZTNAのユース ケースは、広範なネットワーク アクセスによって最も大きなリスクが生じる領域から始まる傾向があります。多くの担当部門にとって、それはVPNアクセスの置き換え、サードパーティーからのアクセスの制限、統合の迅速化、そしてハイブリッド、マルチクラウド、AI環境におけるアプリの保護を意味します。

• 従業員のリモート アクセスを保護：広範なネットワーク アクセス モデルと比較して露出を軽減しながら、分散した働き方やAIを活用した生産性向上ツールの利用を支援します。
• サードパーティーによるリスクを軽減：パートナーや委託業者には、必要なアプリケーションのみにアクセスを許可します。特に、管理対象外のデバイスを使用する場合や、AIアプリ、データセット、ワークフローへの限定的なアクセスが必要な場合に有効です。
• M&Aに伴う統合を加速：ネットワークの瞬時の統合やIPの再割り当て、環境間の広範な信頼を必要とすることなく、組織間のアプリへのアクセスを制御します。
• ハイブリッド環境とマルチクラウド環境へのアクセスを保護：データ センターや複数のクラウドでホストされているアプリケーション全体に、一貫したアクセス ポリシーを適用します。これには、AI/MLサービスやそれを支えるデータ パイプラインも含まれます。
• AIアプリとデータを保護：アイデンティティー、デバイスの状態、コンテキストベースのポリシーを適用し、モデル エンドポイント、ベクトル データベース、トレーニング データセット、ノートブック、生成AIツールへのアクセスを制御します。

現在の競争の激しい市場において、ZTNAソリューションを独自のニーズに合わせて評価する際には、以下のような他の重要な基準も考慮することが重要です。

• クライアント要件：ソリューションにはエンドポイント エージェントが必要ですか？どのようなデバイスがサポートされていますか？BYODやサードパーティー アクセスなどの管理されていないデバイスの場合、エージェントレスZTNAが非常に重要となります。
• アプリケーションのサポート：Webアプリケーションでも、従来(データ センター)のアプリケーションでも、同じセキュリティ機能のメリットが得られますか？
• クラウド レジデンシー：ソリューションはクラウドベースですか？セキュリティやレジデンシーのニーズを満たしていますか？クラウド型ZTNAは展開を簡素化し、DDoS耐性を強化します。
• 認証標準：どのようなプロトコルがサポートされていますか？オンプレミスのディレクトリーやクラウド アイデンティティー サービス、既存のアイデンティティー プロバイダーと統合できますか？
• エッジ ロケーション：ベンダーの拠点はどの程度世界中に分散していますか？
• アクセス制御とセキュリティ態勢：デバイスの正常性やセキュリティ態勢を評価できますか？統合エンドポイント管理(UEM)と統合できますか？

以上の点を念頭に置きながら、組織の目標とビジョンを補完するベンダーを探してください。

Zscaler Private Access™は、世界で最も幅広く導入されているZTNAプラットフォームで、Zscaler独自のゼロトラスト アーキテクチャーを基に構築されています。クラウド ネイティブなサービスであるZPAは数時間で展開することができ、従来型のVPNとリモート アクセス ツールを総合的なゼロトラスト プラットフォームに置き換えます。

ZPAが提供するもの：

• 従来型のVPNやファイアウォールを超えた、卓越したセキュリティを実現：ユーザーはネットワークではなくアプリに直接接続されるため、攻撃対象領域を最小限に抑えてラテラル ムーブメントを排除します。
• プライベート アプリの侵害防止：インライン防御、デセプション、脅威の分離の機能を備えた優れたアプリ保護機能により、侵害されたユーザーによるリスクを最小限に抑えます。
• 現代のハイブリッド ワーカーに優れた生産性を提供：リモート ユーザーをはじめ、本社や拠点、サードパーティー パートナーにプライベート アプリへの高速かつシームレスなアクセスを提供します。
• ユーザー、ワークロード、デバイス向けの統合型のZTNAを提供：最も総合的なZTNAプラットフォームを活用することで、従業員とパートナーはプライベート アプリ、サービス、OT/IoTデバイスに安全に接続できます。
• AIアプリとデータのアクセスを保護：ZPAはインターネットに露出することなくアイデンティティーベースの最小特権アクセスを施行することで、AIを活用したアプリケーション、モデル サービス、機密性の高いデータ ストアの保護に役立ちます。