ZTNA（Zero Trust Network Access）とは？ VPNとの違い¶
最終確認: 2026-09-29
SASEの全体像に戻る
30秒で復習¶
- ZTNA（ゼットティーエヌエー）＝社内アプリに、許可された人・端末を「そのアプリだけ」つなぐ仕組み。 VPNの代わり。
- 「Aさんは経費システムOK、BさんはNG」のように、誰が・どの端末で・どのアプリへを制御できる。
- 社内のコネクタが外向きにだけ接続するので、外からの入口を開けない。許可されていないアプリは存在自体が見えない。
- 覚え方：VPN＝城のマスターキー、ZTNA＝ホテルのカードキー。
- ZTNAは仕組み全体の名前。部品はクライアント（PC）・ZTNAのクラウド（判断する頭脳）・コネクタ（社内）・IdP。コネクタ＝ZTNAではない。
- 安全な理由は「誰が接続を始めるか」。VPN装置はインターネットに向けて待ち受ける必要があるが、ZTNAではPCもコネクタも自分から外へ接続しに行くだけ。
- コネクタは先にクラウドへつなぎっぱなしにしておき、利用者が来たらその接続で知らせてもらう（スマホのプッシュ通知と同じ仕組み）。
- Microsoftでは Microsoft Entra Private Access。
質問：ZTNAとは？¶
答え： ZTNA（Zero Trust Network Access）＝社内アプリへのアクセスを、「許可されたユーザー・端末」に「そのアプリだけ」つなぐ仕組み。 VPNの代わりとして使われる。
仕組み¶
社員のPC（エージェント） → ZTNAのクラウド（認証・判定） ← コネクタ（社内に設置） → 社内アプリ
↑
社内から外向きにだけ接続する
- 社内（データセンター等）にコネクタを置き、コネクタから外向きにZTNAのクラウドへ接続しておく
- 社員がアプリを開くと、ZTNAのクラウドがユーザー・端末・場所を確認する
- 許可された場合だけ、クラウドとコネクタがそのアプリへの通信だけを中継する
構成要素（コネクタ＝ZTNAではない）¶
ZTNAは仕組み全体の名前で、コネクタはその部品の1つ。
| 部品 | 置き場所 | 役割 | 電話のたとえ |
|---|---|---|---|
| クライアント（エージェント） | 社員のPC | 社内アプリへの通信をZTNAのクラウドへ送る | 社員の電話機 |
| ZTNAのクラウド（ブローカー） | 事業者のクラウド | 本人・端末を確認し、ルールで許可を判断し、通信を中継する。ZTNAの頭脳 | 電話交換局・交換手 |
| コネクタ | 社内（データセンター等） | クラウドへつなぎっぱなしにしておき、許可された通信を社内アプリへ渡す | 社内側の電話機（ホットライン） |
| IdP（Entra ID等） | クラウド | ユーザーの認証（SSO・MFA） | 社員名簿・身分証の確認 |
| 製品 | クライアント | クラウド | コネクタ |
|---|---|---|---|
| Microsoft Entra Private Access | Global Secure Accessクライアント | Microsoftのクラウド | プライベートネットワークコネクタ |
| Zscaler ZPA | Zscaler Client Connector | ZPAのクラウド | App Connector |
| Verona | Verona Client | Verona SASE / Verona Cloud | 拠点側はVerona Edgeが近い役割と思われる（要確認） |
ルールの例（誰が・どの端末で・どのアプリへ）¶
| ユーザー | 端末の条件 | 宛先アプリ | 結果 |
|---|---|---|---|
| 経理部のAさん | 会社のPC | 経費精算システム | 許可 |
| 営業部のBさん | 会社のPC | 経費精算システム | 拒否（アプリ自体が見えない） |
| 経理部のAさん | 私物のPC | 経費精算システム | 拒否、またはブラウザで閲覧のみ |
| 情シスのCさん | 会社のPC＋MFA | サーバーへのリモートデスクトップ | 許可 |
※ ユーザー単位のルール自体はSWG・CASB・FWaaSでも書ける（どれもIdPでユーザーを認証しているため）。ZTNAの特徴は、宛先が社内アプリであることと、許可されていないアプリは存在自体が見えないこと。
VPNと比べたメリット¶
| 観点 | VPN | ZTNA |
|---|---|---|
| 接続範囲 | 社内ネットワーク全体 | 許可されたアプリだけ |
| 社内側の入口 | VPN装置がインターネットに公開される（攻撃対象になる） | 外からの入口を開けない（コネクタは外向き接続のみ） |
| 社内アプリの見え方 | ネットワークに入れば他のサーバーも見える | 許可されていないアプリは存在自体が見えない |
| 検証 | 接続時に1回 | 接続中も継続的に確認 |
| 使い勝手 | 毎回VPNをつなぐ操作が必要 | 自動で接続され、意識しなくてよい |
- VPN装置の脆弱性を狙った攻撃（ランサムウェアの侵入口になった事例が多い）を避けられるのが大きなメリット。
- Webアプリなら、エージェントなしでブラウザだけで使える方式もある（私物端末や委託先向け）。
- Microsoftでは Microsoft Entra Private Access がZTNAにあたる。
質問：SASEの機器に入れ替えても、そこから外に出ている以上、同じように攻撃されるのでは？¶
答え： 「外から入ってくる通信を待ち受けるか（インバウンド）」と「内から外へ出ていくだけか（アウトバウンド）」の違いがポイント。リスクはゼロにはならないが、攻撃されやすさが大きく変わる。
| 観点 | VPN装置 | ZTNAのコネクタ・SASEの拠点機器 |
|---|---|---|
| 通信の向き | インターネットからの接続を待ち受ける（ポートを開けている） | 自分からSASEのクラウドへ接続しに行くだけ |
| 攻撃者から見えるか | ポートスキャンで見つかる。世界中から攻撃を送れる | 待ち受けていないので、外から見つけられない・話しかけられない |
| 外からの通信 | 誰からでも受け付けてから認証する | 自分が始めた通信の「返事」しか通さない（ファイアウォールが知らない相手からの通信を捨てる） |
たとえ：VPN装置は「誰からの電話にも出る代表電話」（いたずら電話や詐欺電話も受けてしまう）。コネクタは「自分から決まった相手にだけ電話をかける、着信拒否の電話」。
補足：「インバウンド・アウトバウンド」は何を指している？¶
ここでの区別は「どちらが最初に接続を始めるか（待ち受けるのは誰か）」であり、データの流れる向きではない。接続ができた後は、VPNでもZTNAでもデータは双方向に流れる。
VPN：
社外のPC ──(接続を始める)──→ 本社のVPN装置（待ち受け＝インバウンド）──→ 社内システム
└→ インターネットへも出られる（アウトバウンドもする）
ZTNA：
社外のPC ──(接続を始める)──→ ZTNAのクラウド（待ち受け） ←──(接続を始める)── 社内のコネクタ
両方から来た接続をクラウドの中でつなぐ
- VPN装置もアウトバウンドはする。問題は、社外のPCから接続を受けるために、インターネットに向けて常に待ち受けていること。
- ZTNAでは、PCもコネクタもどちらも外向きに接続しに行くだけ。待ち受けるのはZTNA事業者のクラウドで、ここは事業者が守る。
- 「VPN＝インバウンド専用の仕組み」という意味ではない。拠点間VPNやSASEへのIPsecトンネルも「VPN（暗号化トンネル）」の一種。トンネルを始める側は待ち受けなくてよく、受ける側が待ち受けるという点が重要。
補足：コネクタは、利用者から接続が来たことをどうやって知る？¶
コネクタは、利用者が来る前から先にクラウドへ接続しておき、その接続をつなぎっぱなしにしている。 利用者の接続が来たら、クラウドがその「つなぎっぱなしの接続」を通してコネクタに知らせる。コネクタは、知らせを受けてから外からの接続を受けるのではない。
① 事前：コネクタ ──(自分から接続・つなぎっぱなし)──→ ZTNAのクラウド
② 利用：社外のPC ──(接続)──→ ZTNAのクラウド（認証・判定）
③ 通知：ZTNAのクラウド ──(①の接続の中で)──→ コネクタ「経費システムへのお客さんです」
④ 中継：コネクタ ──→ 社内の経費システム（以降、①の接続などを通してデータをやり取り）
- 製品によっては、③の知らせを受けたコネクタが、その利用者専用にもう1本接続を張ることもある。その場合もコネクタから外向きに張るので、待ち受けは不要。
- 接続が切れていないことは、定期的な確認の通信（キープアライブ）で保つ。
- 身近な例：スマホのLINEやTeamsの通知も同じ仕組み。スマホはサーバーへの接続を保っておき、メッセージが来たらサーバーがその接続を通して知らせる（プッシュ通知）。スマホがインターネットから直接の着信を待ち受けているわけではない。
それでも残るリスク¶
- 機器自体の脆弱性：外から直接は狙われにくいが、社内側からの攻撃や、管理画面をインターネットに公開している場合は狙われる。ファームウェアの更新と、管理画面を外に出さない設定は引き続き必要。
- 攻撃の対象がSASE事業者のクラウドへ移る：入口はSASE事業者が守る。専門チームが24時間監視・修正する点は自社運用より有利だが、事業者側の脆弱性や障害の影響を受ける。事業者の脆弱性対応の実績や体制を確認する。
- 外へ出た先からの攻撃：社員が危険なサイトを開くと、その「返事」としてマルウェアが入ってくることがある。これはSWG・FWaaSで検査して防ぐ。
- 認証情報の盗難：正規のID・パスワードを盗まれると入口を通られる。MFAと端末証明書・端末の状態確認を組み合わせる。
確認したいこと¶
- 自社ではリモートアクセスにVPNを使っているか、ZTNAへの移行予定はあるか
- どの社内アプリを、どの部署・グループに許可するか