VPN機器のトラブル対応で休日に呼び出された経験を持つ情シス担当者は、少なくありません。
一人情シスなら一度は経験があるはずです。VPN機器のトラブル対応に振り回された経験がある方は、決して少なくないでしょう。
最近、「ゼロトラスト」という言葉を耳にする機会が増えました。同時に「VPNはもう古い」という論調も見かけます。ですが、ゼロトラスト＝VPN廃止と単純に捉えるのは早合点です。この記事では、モバイル運用の観点から、ゼロトラストの考え方と、VPNに代わる・あるいは補完する「条件付きアクセス」の設計について、週末に見直せる粒度で整理します。
なぜ今VPNが見直されているのか
VPN機器を経由した不正アクセスは、ここ数年ランサムウェア被害の主要な侵入経路のひとつとして繰り返し指摘されています。警察庁やIPAの脅威レポートでも、VPN機器の脆弱性を突いた攻撃は上位に位置づけられており、パッチ未適用のVPN機器が狙われるケースが後を絶ちません。
加えて、モバイル運用の現場ではVPN接続そのものが「不安定でつながりにくい」「動作が重い」といった不満の温床になりがちです。従業員のスマホやノートPCが社外から社内リソースにアクセスする経路として、VPNだけに依存し続けることのリスクとコストが、改めて問われている状況です。
ゼロトラストとは何か。VPN全廃ではない
ゼロトラストは「社内ネットワークだから安全」という前提を捨て、アクセスのたびに毎回検証する考え方です。誤解されやすいのですが、これは必ずしも「VPNを撤去する」ことを意味しません。VPNを残したまま、多要素認証（MFA）やIDaaS（クラウド型のID管理基盤）を組み合わせるハイブリッド構成も、立派なゼロトラストの一段階です。
重要なのは「どこからアクセスしているか」ではなく、「誰が、どんな端末で、どんな状態でアクセスしているか」を都度確認する仕組みに置き換えていくことです。この確認の仕組みこそが、次に説明する「条件付きアクセス」です。
条件付きアクセスの仕組みと設計の勘どころ
条件付きアクセスは、あらかじめ定めた条件（デバイスの準拠状態、ユーザーの所属、アクセス元の地域など）に応じて、アクセスを許可・ブロック・追加認証要求のいずれかに振り分ける仕組みです。Microsoft Entra IDと連携するIntuneの場合、まずデバイスコンプライアンスポリシーで「OSバージョンが最新であること」「パスコードが設定されていること」などの基準を定義し、その基準を満たさない端末は自動的に「非準拠」として扱われます。
設計の勘どころは3つあります。一つ目は、いきなり全社に厳格なポリシーを適用しないこと。まずは一部の部署やテストグループで運用し、業務への影響を見ながら段階的に広げるのが安全です。二つ目は、非準拠デバイスへの対応をブロック一択にしないこと。初期段階では警告表示にとどめ、周知期間を設けてからブロックに切り替えると、現場の混乱を抑えられます。三つ目は、Androidの仕事用プロファイルやiOSの管理対象App設定と条件付きアクセスを連携させることです。会社所有か個人所有かによって、適用すべき条件の厳しさを変える設計が現実的です。
落とし穴：焦った移行が招くトラブル
条件付きアクセスへの移行を急ぐと、思わぬ落とし穴にはまります。もっとも多いのが、ポリシーの適用範囲を誤って全ユーザーに一括適用してしまい、出張中の営業担当者が突然アクセスできなくなるといったトラブルです。緊急時に管理者権限でポリシーを一時的に解除できる「緊急アクセス用アカウント」を必ず用意しておくべきです。
また、Android端末は機種やメーカーによってOSアップデートの提供状況が大きく異なります。iOSと同じ基準でコンプライアンスポリシーを組むと、正常に使えているはずの端末まで一律で非準拠にしてしまうことがあるため、OS環境が混在する組織では機種ごとの実態を踏まえたポリシー設計が欠かせません。
まとめ
VPNを今すぐ全廃する必要はありません。ただし、VPン接続さえしていれば安全、という前提はもう通用しなくなっています。条件付きアクセスという「毎回確認する仕組み」を少しずつ取り入れることで、VPNの弱点を補いながら、無理のない形でゼロトラストに近づいていくことができます。週末の少し落ち着いた時間に、自社のアクセス制御の現状を一度棚卸ししてみてはいかがでしょうか。
Mobitech Solutionへのご相談
条件付きアクセスの導入設計や、VPNからの段階的な移行計画についてお悩みでしたら、Mobitech Solutionまでお気軽にご相談ください。組織の実情に合わせた無理のないロードマップをご提案します。
