【ひとり情シス向け】大企業向けSASEに頼らない小規模ゼロトラスト設計

✅ 📋 1分で読めるこの記事の要約

• この記事の結論: 従業員10〜100名規模の企業において、大企業向けの「全部入りSASE（Secure Access Service Edge）」や高額なセキュリティ製品の導入は、予算・運用体制・通信品質の3面で破綻するリスクを孕んでいます。小規模企業が目指すべきは、高額な専用装置を買い足すことではなく、既存のクラウドIdP（Microsoft 365 / Google Workspace）のアクセス制御を軸に、安価なZTNAコネクタとOS標準セキュリティを連携させた「身の丈ゼロトラスト」です。
• 解決するリアルな悩み:
  • 大手SIerや販社から数百万〜数千万円のSASE・高額UTM提案を受け、自社に本当に必要か判断できない
  • リモートワーク用のVPN機器の脆弱性や不正アクセスが不安だが、移行先がわからない
  • 情シス担当が1名（または総務兼任）しかおらず、複雑なセキュリティログ監視やアラート対応が回らない
• 読者への即時提供価値:
  • 大企業向け構成をそのまま真似した現場が陥る「3大失敗要因（予算・運用・通信）」のメカニズムを公開。
  • 月額数万円台・担当者1名で運用が回る「実践アーキテクチャ構成図」と推奨機器・サービスの組み合わせを提示。
  • ベンダーの提案を受けた際に、不要な過剰スペックを見抜く「3つの逆質問チェックリスト」を収録。

📌 公式一次ソース（一次情報リンク）:
本稿で扱うゼロトラストの標準概念および中小企業向けセキュリティ指針は、政府・公的機関の一次ガイドラインに準拠しています。
・IPA：中小企業の情報セキュリティ対策ガイドライン 第3.1版
・デジタル庁：ゼロトラストアーキテクチャ適用方針（政府統一基準）
・NIST SP 800-207：Zero Trust Architecture（米国立標準技術研究所）

---

はじめに：見積書を見て絶望した「ひとり情シス」の現場から

こんにちは、LEEです。普段はインフラエンジニアとして企業ネットワークの設計・構築を手掛けつつ、社内のソリューション企画として「お客様の事業規模や運用体制に即した技術提案」を担当しています。情報処理安全確保支援士（登録セキスペ）、ネットワークスペシャリスト、そしてPMP®（プロジェクトマネジメント・プロフェッショナル）の視点から、日々現場のネットワーク改善に向き合っています。

昨今、取引先の大手企業からセキュリティチェックシートを突きつけられたり、ランサムウェア被害のニュースを目にしたりして、「わが社もそろそろゼロトラストを導入しなければならないのでは」と焦る小規模企業（従業員10〜100名規模）が急増しています。

しかし、実際に大手SIerや販社に相談した担当者が目にするのは、以下のような現実です。

• 「全社トラフィックをクラウドで一括検査するため、大手SASE（ZscalerやCato、Prisma Accessなど）を導入しましょう」
• 「初期構築コンサル費用に300万円、ユーザーライセンスが1人あたり月額5,000円〜、さらに専用UTM機器の更新が…」
• 見積書の合計金額を見て、経営陣から「こんな予算どこにあるんだ！」と一蹴され、企画が座礁する。

断言しますが、小規模企業に大企業向けの全部入りSASEは不要です。

これは高額製品の性能を否定しているのではありません。大企業向けの設計思想は「数千〜数万人のユーザーと、24時間365日体制のセキュリティ運用センター（SOC）が存在すること」を前提に作られているため、ひとり情シスや総務兼任の現場に持ち込めば、運用が崩壊するのは自明の理だからです。

本稿では、特定の製品を売りたいベンダーのポジショントークを完全に排し、小規模企業が現実的な予算と運用工数で実現できる「身の丈に合ったゼロトラストネットワーク設計」の青写真をお伝えします。

---

第1章：なぜ大企業のゼロトラスト（SASE）を真似すると中小企業は破綻するのか？

多くの企業が「ゼロトラスト＝大手のSASE製品を契約すること」と誤認しています。しかし、組織の規模に見合わない重厚長大なシステムを導入した結果、現場が直面する結末は以下の3つに集約されます。

1. 予算の破綻（ライセンス固定費の重圧）

大企業向けSASEの多くは、ユーザー単位の年間サブスクリプション契約です。機能（ZTNA、SWG、CASB、DLPなど）をフルで盛り込むと、1アカウントあたり月額数千円〜1万円近くに達することも珍しくありません。

従業員50名の企業でも、年間ライセンス費だけで数百万円単位の固定費が継続的に発生します。景気変動や業績の波がある中小企業において、一度導入した重たい固定費を払い続けることは大きな経営リスクとなります。

2. 運用の破綻（専任アナリスト不在によるアラート放置）

SASEや高度なEDR（Endpoint Detection and Response）は、わずかな不審通信や怪しいプロセスの挙動も逃さず検知し、大量のアラートを発報します。

大企業であれば、アラートを一次切り分けする専門のセキュリティアナリスト（L1/L2チーム）が常駐しています。しかし、小規模企業の現場にいるのは、PCの初期設定からヘルプデスク、社内サーバの保守まで一人で抱える「ひとり情シス」、あるいは本業の傍らでITを見ている総務担当者です。

毎朝届く大量の英語のアラートメールに目を通す時間など到底ありません。結果として「通知をミュートして放置する」「導入初月以降、管理画面を誰も開かなくなる」という、実質的な無防備状態（セキュリティの形骸化）に陥ります。

3. 通信の破綻（Web会議の遅延と社内ヘルプデスクのパンク）

「全社員のPCから出る全通信を、一旦クラウド上のSASE PoP（検査ポイント）へトンネル経由で集約する」という大企業特有のフルインスペクション設計をそのまま適用すると、オフィスのインターネット回線（PPPoE/IPoE）やPC側の仮想NICに極度の負荷がかかります。

• 「ZoomやMicrosoft Teamsの画面がカクつき、音声が頻繁に途切れる」
• 「オフィスのローカルNASに大きなファイルを保存しようとすると、一旦クラウドを経由して戻ってくるため極端に遅い」
• 「特定のクラウド会計ソフトや銀行のWebサイトにログインできなくなる」

こうした通信トラブルが日常茶飯事となり、情シス担当者は本来の業務を奪われ、回線トラブルの対応だけで一日が終わるようになります。

---

第2章：小規模企業が目指すべき「身の丈ゼロトラスト」の3大要件

では、限られた予算と「ひとり情シス」のリソースで、強固なセキュリティを担保するにはどうすればよいのでしょうか。 押さえるべき本質は、以下の3点に絞られます。

【小規模ゼロトラストの3大原則】
1. 境界（レガシーVPN）を廃止し、「クラウドIdP」を信頼の起点にする
2. 拠点ルータに無理をさせず、「ローカルブレイクアウト ＋ 安価なZTNA」に分ける
3. 高額な外部ツールを避け、「OS標準機能 ＋ クラウド標準MDM」を強制する

要件①：境界（レガシーVPN）を捨て、「クラウドIdP」に寄せる

従来の「社内ネットワーク＝安全、社外＝危険」という境界防御の最大の弱点は、拠点に設置されたVPNルータの脆弱性でした。ファームウェアの更新が数ヶ月遅れただけで、世界中からポートスキャンを受け、初期侵入の足がかりにされます。

身の丈ゼロトラストの第1歩は、VPNによる「ネットワーク全体の接続」をやめ、「ID（アカウント）単位の認証・認可」に切り替えることです。

社内システムや業務ファイルへのアクセス可否を判定するのは、ルータのパケットフィルタではなく、すでに多くの企業が導入している Microsoft 365（Microsoft Entra ID） や Google Workspace の「クラウドIdP（Identity Provider）」です。

• パスワード単体での認証を禁止し、多要素認証（MFA）を必須化する
• 海外IPアドレスからのログインをブロックする
• 会社の許可した端末（証明書やMDM登録端末）以外からのアクセスを遮断する

これらをIdP側で一括設定するだけで、侵入リスクの大半をシャットアウトできます。

要件②：ルータに過度な機能を背負わせず、「シンプル直結 ＋ クラウドZTNA」にする

オフィスの境界ルータに、高額なUTMライセンス（IPS/IDS、アンチウイルス、URLフィルタ等）を山盛りに積む必要はありません。

拠点ルータの役割は、「IPoE（IPv6/IPv4 over IPv6）による高速で安定したインターネット接続の提供」に専念させます。数万円で購入できるヤマハ（RTXシリーズ）などの安定した業務用ルータを配置し、すべてのSaaS宛て通信はそのまま最短経路でインターネットへ抜けさせます（ローカルブレイクアウト）。

もし「社内にどうしても残さなければならないオンプレミスのファイルサーバや基幹Webシステム」がある場合はどうするか。
ここで登場するのが、Cloudflare Zero Trust（最大50ユーザーまで無料枠あり、有料でも月額$7/人程度）や Tailscale といった、軽量な「クラウド仲介型ZTNA（Zero Trust Network Access）」です。

社内サーバに小さなエージェント（クラウドコネクタ）を1つ常駐させるだけで、ルータのインバウンドポート（ポート開放）を1つも開けることなく、社外の認証済み端末と暗号化トンネルを結ぶことができます。ルータへの外部攻撃面（アタックサーフェス）はゼロになります。

要件③：端末管理（MDM）とOS標準機能の活用で、運用負荷を最小化する

「未知のマルウェアをAIが自律検知・遮断する」と謳う高額な専任SOC付きEDRを個別に契約する前に、足元の端末の基本設定を見直す必要があります。実際のセキュリティ事故の多くは、高度な標的型攻撃ではなく、「OSアップデートの放置」「BitLocker未設定のPC紛失」「私用USBメモリの挿入」といった基本的な管理不備から発生しているからです。

小規模企業であれば、OS標準のセキュリティ機能と、グループウェア付属のMDM（端末管理機能）で十分実用的な防御壁を構築できます。

管理項目	採用すべき現実解（推奨構成）	得られる効果
ウイルス対策	Microsoft Defender（OS標準）	追加コスト0円。定義ファイル自動更新、振る舞い検知完備
ディスク暗号化	BitLocker（Windows） / FileVault（Mac）	PC紛失・盗難時の内部データ漏洩を強固に抑止
パッチ適用管理	Intune（M365 Business Premium）または Google エンドポイント管理	OSアップデートを強制適用し、未適用端末を隔離
二重認証	Authenticatorアプリ（スマホプッシュ通知）	SMS認証よりも安全で、ワンタップで完了するため現場の不満が出ない

---

第3章：【実例構成図】月額数万円〜・1人情シスで回る「身の丈アーキテクチャ」

以下に、従業員30〜100名規模の小規模企業が目指すべき、現実的なゼロトラストネットワークの構成図を示します。

構成の全体像（推奨論理構成図）

通信の流れと安全性のポイント

1. すべての通信の起点は「クラウドIdP」での認証:
   社員がオフィスの席にいようが、カフェでテレワークをしていようが、通信はすべて「本人確認（ID＋MFA）＋端末の健全性チェック」から始まります。
2. クラウドサービス（SaaS）へのダイレクトアクセス:
   Microsoft 365やSalesforce、クラウド会計ソフト宛ての通信は、無駄な社内ルータやクラウドPoPを中継せず、PCから直接インターネット経由で通信します。これにより、社内回線の帯域圧迫やWeb会議の遅延は根本から解消されます。
3. 社内オンプレ資産へのセキュアアクセス（ZTNA連携）:
   社内のファイルサーバ等にアクセスしたい場合のみ、クラウドZTNAを経由して暗号化通信を行います。社内ルータにグローバルIPの開放（ポートフォワーディング）は一切不要であり、社外からの無差別なスキャン攻撃に晒される心配がありません。

概算コスト比較（従業員50名規模の概算比較）

比較項目	従来の大企業向け全部入りSASE提案	本稿が提案する「身の丈ゼロトラスト」
初期構築費用	200万〜500万円（専任SIerの設計・設定費）	30万〜80万円（自社設計または伴走支援）
月額ライセンス	25万〜50万円（5,000円〜/人）	0円〜3.5万円（既存M365活用＋ZTNA無料枠〜）
拠点ルータ	高額な専用アプライアンス（年次保守必須）	数万円の業務用ルータ（ヤマハRTX等で十分）
運用・監視体制	専任SOCまたは外注監視契約（追加費用発生）	ひとり情シスの通常業務範囲内で対応可能
通信速度	クラウドPoP集約による遅延の懸念あり	各PCからの直接接続（ブレイクアウト）で高速

---

第4章：ベンダーの言いなりにならないための「3つの逆質問リスト」

IT機器の更新時期や、取引先からの要請でセキュリティ見直しを迫られた際、ベンダーや販社から重厚な提案書が出てくることがあります。その際、相手の提案が「本当に自社の規模に合っているか」を見極めるため、以下の3つの質問を投げかけてみてください。

質問1：「提案されたシステムでアラートが上がった際、わが社（1名体制）の誰がどのように一次切り分けを行う運用設計ですか？」

相手が「管理画面から適宜確認してください」「通知メールが担当者様に飛びます」としか答えない場合、その製品は運用破綻します。ログ監視を自社で回せない小規模企業に対して、運用設計のない高額監視ツールを提案するのはベンダーの不誠実です。

質問2：「Web会議（Teams/Zoom）や大容量ファイル転送で遅延が発生した場合、どの経路で切り戻し（ブレイクアウト）ができますか？」

通信トラブルが起きた際の逃げ道（バイパス経路）が用意されているかを確認します。「全通信を暗号化検査するためバイパスはできません」と回答された場合、導入後に現場からのクレームで苦しむ可能性が極めて高くなります。

質問3：「従業員50名規模において、今後3年間のライセンス更新費と保守サポート費用の総額はいくらになりますか？」

初期費用だけでなく、保守更新費とユーザー追加時の増額ロジックを事前に書面で提出してもらいます。「初年度だけ値引きキャンペーンで安く、2年目以降に数倍に跳ね上がる」という契約形態を事前に防ぐことができます。

---

まとめ：セキュリティの目的は「高額な箱を買うこと」ではない

ゼロトラストとは、特定の高額なソフトウェアやハードウェアの名称ではありません。「ネットワークの場所を過信せず、ユーザーのIDと端末を厳格に検証した上で、最小限のアクセス権のみを与える」という設計思想そのものです。

大企業の真似をして過剰なシステムを導入し、予算を逼迫させたり現場の業務を麻痺させてしまっては本末転倒です。

1. 手元のクラウドIdP（M365 / Google）で多要素認証（MFA）を100%徹底する
2. 古い拠点VPNルータのポート開放をやめ、安価なクラウドZTNAへ切り替える
3. OS標準機能（Defender / BitLocker）をMDMで漏れなく有効化する

この3つのステップを丁寧に整えるだけで、小規模企業のセキュリティ水準は上位数パーセントの堅牢さに到達します。

---

---

著者プロフィール

LEE
インフラエンジニア / 社内ソリューション企画 / 情報処理安全確保支援士（登録セキスペ） / ネットワークスペシャリスト / PMP®（Project Management Professional）。
製造業から30代未経験でIT業界へ転職。現場での企業ネットワーク更改、ゼロトラスト移行、セキュリティ監査、プロジェクトマネジメントに従事。現在は企業の課題ヒアリングから技術とビジネスを繋ぐソリューション企画を担当しながら、個人ブログ『LEEの自宅サーバ運用記（https://jetree.work/）』にて、小規模組織向けの現場密着型インフラ設計論やAIエージェント自律スタジオの知見を発信中。