【従来の VPN モデル】 ユーザー → [VPN 接続] → 企業ネットワーク全体にアクセス可能 リスク: 一度接続すれば内部全体に横展開できる

【ZTNA モデル】 ユーザー → [認証・デバイス検証] → 許可されたアプリケーションのみにアクセス可能 特徴:

• アプリケーション単位での最小権限アクセス
• ネットワークへの直接アクセスは不要
• ユーザー・デバイス・コンテキストに基づく継続的検証
• ネットワーク経路を隠蔽（インターネット上でサービスが見えない）

【ネットワークベース】 VLAN・ファイアウォールルール・SDN（Software Defined Networking）による 物理/論理的なセグメント分割。各セグメント間はホワイトリスト方式で通信許可。

【ホストベース（推奨）】 エンドポイントエージェントによるマイクロセグメンテーション。 各ホストのアウトバウンド/インバウンド通信をプロセス単位で制御。 例: Illumio、VMware NSX、AWS Security Groups

【クラウドネイティブ】 クラウドプロバイダーのネイティブ機能を活用。 AWS: Security Group + Network ACL + VPC Peering 制御 Azure: Network Security Group（NSG）+ Azure Firewall GCP: VPC Firewall Rules + Hierarchical Firewall

AWS Security Group で最小権限のルールを設定

aws ec2 authorize-security-group-ingress
—group-id sg-webserver
—protocol tcp
—port 443
—cidr 0.0.0.0/0

アプリケーション層からデータベース層への通信のみ許可

aws ec2 authorize-security-group-ingress
—group-id sg-database
—protocol tcp
—port 5432
—source-group sg-appserver

管理アクセスはジャンプサーバー（Bastion）からのみ許可

aws ec2 authorize-security-group-ingress
—group-id sg-database
—protocol tcp
—port 22
—source-group sg-bastion

MFA の優先順位（強度の高い順）:

1. FIDO2/WebAuthn ハードウェアキー（YubiKey など）— フィッシング耐性あり
2. TOTP アプリ（Google Authenticator、Authy）
3. プッシュ通知（Duo Security、Microsoft Authenticator）
4. SMS/音声コード — フィッシング・SIM スワップに弱い（最終手段）

推奨: 特権アカウントには必ずハードウェアキーを使用

アクセス許可の判断基準（コンテキスト評価）:

ユーザーアイデンティティ:

• 本人確認済みか（MFA 完了）
• 異常なログイン場所・時刻ではないか
• アカウントが侵害されていないか（UEBA による行動分析）

デバイス状態:

• 企業管理デバイスか（MDM 登録済み）
• OS・アプリのパッチが最新か
• エンドポイントセキュリティが有効か
• ディスク暗号化が有効か

ネットワークコンテキスト:

• 既知の場所（オフィス IP）か
• 匿名プロキシ・TOR 経由でないか
• リスクスコアが閾値以下か

IAM ロールへの最小権限付与（S3 の特定バケットのみ読み取り）

aws iam create-policy —policy-name MinimalS3ReadPolicy —policy-document ’{ “Version”: “2012-10-17”, “Statement”: [{ “Effect”: “Allow”, “Action”: [“s3:GetObject”, “s3:ListBucket”], “Resource”: [ “arn:aws:s3:::company-data-bucket”, “arn:aws:s3:::company-data-bucket/*” ] }] }‘

AWS Organizations SCP で全アカウントにガードレールを設定

（特定リージョン外へのリソース作成を禁止）

aws organizations create-policy
—name “DenyNonApprovedRegions”
—type SERVICE_CONTROL_POLICY
—document file://deny-regions-scp.json

フェーズ 1（0〜6ヶ月）: 可視化と基盤整備

• 全資産・ユーザー・通信フローの棚卸し
• MFA の全アカウントへの展開
• ID プロバイダー（IdP）の統合（Azure AD、Okta など）
• ログの一元収集（SIEM の導入・強化）

フェーズ 2（6〜18ヶ月）: アクセス制御の強化

• 条件付きアクセスポリシーの実装
• ZTNA への段階的移行（VPN の縮小）
• 特権アクセス管理（PAM）の導入
• エンドポイントの EDR 導入とコンプライアンスチェック

フェーズ 3（18ヶ月〜）: マイクロセグメンテーションとオートメーション

• ネットワーク/ホストレベルのマイクロセグメンテーション
• ポリシーの継続的自動評価
• UEBA による異常検知の高度化
• サプライチェーンへのゼロトラスト要件拡大