ゼロトラストは登場して以来10年間、エンタープライズ向けの製品カテゴリーであり続けてきました。セキュリティ予算を持つ組織向けに価格設定され、セキュリティオペレーションセンターを運用するチームを前提とし、IDプロバイダーやポリシーエンジンに精通した購買担当者に向けて売り込まれてきたのです。中小企業も同じニュースを目にし、同じカンファレンスでうなずいてはいたものの、結局はフラットなネットワークとレガシーVPNに戻っていきました。誰もそれを強制していなかったからです。
しかし今年、状況を一変させる出来事が起こりました。それは中小企業がセキュリティアーキテクチャへの関心を高めたから、というわけではありません。規制当局はサプライチェーンを規制対象に組み込み始め、保険会社は更新時に統制状況を監査するようになり、あらゆる規模の企業がAIツールを日常業務に組み込み始めています。その結果、従業員60人規模の企業でも、これまで自社が対象になるとは考えていなかった義務を負う事態が生じているのです。
最大の推進力はコンプライアンスの締め切り
最も分かりやすい英国の例が、Cyber Security and Resilience Bill(サイバーセキュリティ・レジリエンス法案)です。2025年11月に議会に提出され、2026年6月に庶民院でのすべての審議段階を通過、現在は貴族院で審議中で、王室裁可は今年後半に得られる見通しであり、義務の段階的導入は2028年に向けて進められます。同法案はNIS Regulations 2018を刷新し、NCSC(英国国家サイバーセキュリティセンター)のCyber Assessment Frameworkに法的根拠を与えるとともに、24時間以内の早期警告義務を導入し、重大な違反に対しては1,700万ポンドまたは世界売上高の4%に達する罰則を設けています。
中小企業にとって重要なのが、「指定重要サプライヤー(designated critical supplier)」という規定です。規制当局は、機能不全に陥れば重要サービスに深刻な支障をきたしかねないサプライヤーを指定する権限を持ちます。一度指定されれば、そのサプライヤーは essential services の運用事業者(operator of essential services)に匹敵する義務を負うことになります。また同法案は、マネージドサービスプロバイダーを初めて法定制度の対象に組み込みます。つまり、エネルギー・医療・運輸といった分野で直接事業を行っていなくても、単に「誰に販売しているか」という理由だけで規制対象になり得るのです。
EU側にも、目前に迫った期限があります。Cyber Resilience Act(サイバーレジリエンス法)の報告義務は2026年9月11日から適用され、製造事業者は実際に悪用された脆弱性を24時間以内に報告することが求められます。対象となるのはハードウェア、組み込みソフトウェア、ダウンロード可能なソフトウェア、そして出荷済み製品が依存している製造事業者自身のバックエンドです。ブラウザ経由で提供されるSaaSは基本的に対象外とされていますが、その線引きは本規制の中でも判断が難しい論点の一つとなっています。この義務は既に市場に出回っている製品にも遡及して適用されるため、小規模ベンダーであっても何年も前に出荷した製品について責任を問われることになります。
これらの規制の中で最もばらつきが大きいのがNIS2です。2024年10月17日の国内法化期限を守った加盟国はわずか4カ国にとどまりました。欧州委員会は残りのうち23カ国に対して違反手続きを開始しており、それ以降も各国の国内法の施行状況はまちまちのまま推移しています。NIS2の規模要件は、対象業種における中規模・大規模事業者に及び、一般的には従業員50人以上、または売上高1,000万ユーロ超が基準となります。DORA(デジタルオペレーショナルレジリエンス法)は異なる仕組みを採用しており、金融事業者に義務を課したうえで、契約を通じてその要件を技術サプライヤーへと波及させます。PCI DSS 4.0は、IT部門の規模にかかわらず、カード情報を扱うすべての事業者に適用されます。
これらの規制のいずれも、「ゼロトラストを導入せよ」と明言しているわけではありません。しかし実質的に求めているのは、フラットなネットワークや共有VPN認証情報では到底満たせない統制です。最小権限アクセス、検証済みのデバイス状態、リソースのセグメント化、そして「誰が・何に・いつアクセスしたか」を示す監査証跡がそれにあたります。
これらの要件は、実質的にZero Trust Network Access(ZTNA)の仕様書そのものといえます。だからこそOpenVPNをはじめとするベンダーは今、セキュリティオペレーションセンターを持つことのない組織に向けて、これをサービスとして提供しているのです。
サイバー保険の引受担当者も、商業的な側面から同じ論理を適用しています。更新時のアンケートでは、多要素認証、セグメンテーション、アクセス制御について具体的な内容が問われるようになりました。規制当局と保険会社――この両者が今や、市場において最も効果的な「ゼロトラスト営業担当」になっていると言えるでしょう。
多くの報道が見落としているAIエージェントのアクセス問題
もう一つの推進力は、まさに備えが最も手薄な企業層に急速に押し寄せています。中小企業がAIコパイロットやアシスタント、さらには自律性を増すエージェントを導入するにつれ、データやシステム、他のソフトウェアへのアクセスを必要とする「非人間アイデンティティ」という新たな集団が生まれているのです。
共有ドライブを読み取るコパイロット、顧客データベースに問い合わせるボット、別のアプリケーションでアクションをトリガーするエージェント――これらはいずれも、従業員に適用されるのと同じ最小権限の考え方で統治されるべきアイデンティティです。しかし、ほとんどの小規模環境ではそうなっていません。マシンアイデンティティには、動作する連携を最速で構築するためという理由で広範な常時アクセス権が付与されがちであり、しかもそれを生み出したプロジェクトが終わった後も残り続ける傾向があります。
この問題は、前述のサプライチェーン規定と正面から衝突します。「指定重要サプライヤー」として重要サービスへのアクセス統制を証明するよう求められた企業は、そのアクセス権の一部が棚卸しすらされていないソフトウェアに属していれば、証明に苦労することになるでしょう。小規模チームにとって現実的な解決策は、ネットワーク層でのポリシー制御です。接続されたアイデンティティが到達できる範囲を制限するルールは、従業員であろうとボットであろうと同じ条件で適用されるからです。OpenVPNのCloudConnexaのようなZTNAサービスは、まさにこの原則の上に構築されています。
中小企業にとってゼロトラストは意味があるのか
結論から言えば、意味はあります。ただし、実装がそれを運用するチームの実情に合っている場合に限られます。多くの中小企業にとって障壁となってきたのは、ゼロトラストの論理そのものではなく、その名の下で販売されている製品の設計思想だったのです。
よくある誤りは、エンタープライズ向けの棚から製品を選んでしまうことです。Zscaler、Palo Alto Networks、CiscoのDuoといった製品は大規模なセキュリティ組織向けであり、その導入モデルは、ポリシーを調整しテレメトリを組み込む余裕のあるアナリストの存在を前提としています。契約サイクルの中で実証可能な統制を必要とする「指定重要サプライヤー」に指名されたばかりの企業は、いかに高機能であっても、プラットフォームが本番稼働に至るまで四半期を2つも待つわけにはいきません。
一方で、正反対の極にも落とし穴があります。Tailscale、Twingate、NordLayerといったツールは、迅速な展開とデバイス・リソース間のシンプルな接続性を重視しており、これは人手が逼迫したチームにとって確かなメリットです。しかし「接続性」は、規制当局が問う質問とは別の問いに答えているにすぎません。監査担当者が知りたいのは、どのアイデンティティがどのシステムに、どのような条件下でアクセスしたのか、そして事後にそれを証跡として示せるかどうかです。この答えを生み出すのは、デバイス状態の検証、アクセスグループ、最小権限のセグメンテーションです。購入者はこの点を具体的に比較検討したうえで、安易に同等の製品と見なすべきではありません。
より有効な発想は、自社の成熟度に見合った製品を選ぶことです。誰も使いこなす時間のない機能一覧よりも、迅速なオンボーディング、明快な価格体系、そして小規模チームでも設定できる統制の方が重要なのです。
この隙間を狙って、一部のベンダーが今、SMB向けのZTNAを提供し始めています。検証済みのアイデンティティ、デバイス状態、セグメント化されたアクセスといったゼロトラストの中核的な統制を、少人数のチームでも四半期ではなく午後の時間だけで導入できる形にパッケージ化しているのです。
「規模に見合った」ZTNAの実像
OpenVPNのCloudConnexaは、そうした製品の一つです。デバイス状態チェック、アクセスグループ、最小権限のセグメンテーションを備えたZero Trust Network Accessをクラウドサービスとして提供しており、フルセキュリティチームではなく、IT管理者が1〜2名という規模の企業を想定して設計されています。
CloudConnexaがサプライチェーンの課題に対して持つ意義は、実務的なものです。アクセスポリシーはアプリケーションごとに適用されるため、検証済みのユーザーや接続システムは、その役割が許可する範囲のサービスにのみアクセスでき、それ以外への横方向の経路は存在しません。アプリケーションサーバーやデバイスは、デジタル証明書によって認証されたConnectorを介して接続します。CloudConnexaはアクセスログとDNSログを外部ツールにストリーミングでき、これによって「アクセス制御をしている」という主張が、規制当局や監査担当者、あるいは顧客からのアンケートで求められる実際の証拠へと変わるのです。
セキュリティエンジニアを抱えないチームに製品を販売するベンダーに対しては、その来歴を問うのは正当な質問です。OpenVPNのオープンソースプロトコルは20年以上にわたり本番環境で稼働し続けており、現在も企業のビジネスVPN接続の大きなシェアを担っています。これは、中小企業向けに売り込まれるほとんどの製品が主張できない実績の長さです。価格設定も同じ発想に基づいており、6桁に及ぶプラットフォーム契約ではなく、1接続あたり月額7ドルからのプランが公開されています。
本質的な変化こそが本題
中小企業がゼロトラストを導入しているのは、あるベンダーがそれを「先進的だ」と説得したからではありません。規制当局がそれを枠組みに組み込み、保険会社がそれを更新条件に組み込み、そして自社のAI導入そのものが、ネットワーク内に新たなアイデンティティの集団を作り出したからです。
成長中の企業のITリーダーにとって、実務的な結論は明確です。監査での指摘や顧客からのアンケートによって決断を迫られる前に、先手を打つべきだということです。SMB向けに実用的なゼロトラストソリューションを構成する要素――検証済みのアイデンティティ、デバイス状態、最小権限アクセス――は、今や小規模チームでも運用できる形で手に入るようになりました。2026年を「始める年」と位置づけた企業は、エンタープライズの物語がエンタープライズだけの問題であり続けることを願い続ける企業に比べて、はるかに苦痛の少ない移行を経験することになるでしょう。
