企業のセキュリティチームにとって、VPNを置き換えるかどうかはもはや議論の対象ではなく、どのように置き換えるかが焦点になっています。Gartnerは、ゼロトラストネットワークアクセス(ZTNA)を従来型VPNに代わるスケーラブルな選択肢と位置付けており、Verizonの2026年版データ漏洩調査報告書(DBIR)では、同報告書の歴史上初めて、脆弱性の悪用が初期侵入経路の首位に立ち、侵害全体の31%を占めることが明らかになりました。特筆すべきは、エッジデバイスとVPNが悪用を起点とする事案に占める割合が、わずか1年で3%から22%へと急増した点です。
しかし、ゼロトラストへの移行が急がれる一方で、あまり注目されていない問題も浮かび上がっています。近代化がその日その日で企業が使えるインフラを規定するようになったとき、何が起こるのかという問いです。
複数の地域にまたがって事業を展開している企業や、サードパーティとの連携を必要とする企業、IPベースの制御に依存している企業にとって、安定した地域接続性や柔軟なゲートウェイの選択肢といった機能は、依然として運用上不可欠なものです。近代化の名の下にこれらを取り除いてしまえば、複雑さが単に別の場所へ移るだけになりかねません。
ゼロトラスト移行の落とし穴
VPNの見直しは、必ずしもゼロトラストから始まるわけではありません。ベンダー側の事情から始まるケースもあります。
企業がVPNプラットフォームからの移行を進める理由は、実は技術そのものとはあまり関係がありません。共有ゲートウェイや柔軟なIP設定、地域インフラ、迅速なサポートといった、企業が依存してきた機能が、気づかぬうちに静かに廃止されつつあるのです。これは近代化とは別の問題であり、切り分けて議論する必要があります。
皮肉なことに、複雑さを減らすはずのセキュリティアーキテクチャが、準備の整わないまま移行を迫られた企業にとっては、かえって新たな複雑さの層を生み出してしまうのです。
「ZTNAのみ」への移行に潜む隠れたコスト
複数の国にまたがって事業を展開する企業にとって、アクセスインフラに求められる要件は、ユーザーをアプリケーションに接続するだけにとどまりません。地域ごとの要件は、パフォーマンスやIPベースのアクセス制御から、規制上の義務、サードパーティとの接続性に至るまで、あらゆる面に影響を及ぼします。
特定のIPアドレスを許可リストに登録し、既存のゲートウェイを軸に地域ごとのワークフローを構築し、現地要件に合わせてアクセスポリシーを設計してきた多国籍企業のセキュリティチームを想定してみてください。こうした機能を取り除いても、環境が単純化されることはほとんどありません。実際には、クラウドサービスやセキュリティポリシー、ネットワークルール、コンプライアンスプロセスの再構築をチームに強いることになります。
だからといって、VPNのセキュリティを軽視してよいという話ではありません。DBIRの数字は現実のものであり、パッチが適用されていないエッジデバイスは正当なリスクです。ただし、そのリスクの本質はVPNインフラの管理方法、すなわちパッチ適用の頻度や管理者インターフェースの露出、認証情報の衛生管理、セグメンテーションにあります。VPN接続そのものが問題なのではありません。管理の行き届いたVPNを、急ごしらえのZTNA導入に置き換えたところで、リスクがなくなるわけではなく、単に別の場所へ移るだけなのです。
パフォーマンスも重要な要素です。セキュリティチームは、実際のユーザーが実際の場所で実際の業務リソースにアクセスする際、技術がどのように機能するかを把握しておく必要があります。紙の上ではエレガントに見えるアーキテクチャであっても、主要な地域でレイテンシーを引き起こすようであれば、それは依然として運用上の問題です。そして問題が発生した際には、環境を理解し、トラブルシューティングを支援できるプロバイダーが必要になります。
近代化は混乱を意味すべきではない
DBIRが指摘するリスクに対しては、ゼロトラストは今なお有用な防御層であり、全体像の中に依然として位置を占めています。問題は、それを導入するために既存の接続モデルを捨てる必要が本当にあるのかという点です。
多くの企業にとって、より現実的なアプローチは段階的な移行です。今なお意味のある形で機能している信頼性の高いVPN接続は維持しつつ、明確な優位性が見込める部分にゼロトラスト制御を導入していく。これは特に、ハイブリッドワークの拡大やサードパーティアクセスの増加、クラウド移行が進む局面で価値を発揮します。
VPNとゼロトラストを並行運用する
NordLayerは、ビジネス向けVPN接続とゼロトラストネットワークアクセス機能を単一のプラットフォームに統合しており、企業はより粒度の細かいアクセスモデルへ移行を進めながら、今なお依存しているインフラを、単一の管理体制、パッチ適用サイクル、ポリシーのもとで維持できます。
企業は、既存のVPNインフラを一夜にして手放す必要はありませんし、ゼロトラストの取り組みを導入するために移行プロジェクトを強行する必要もありません。ネットワークレベルのシナリオではVPNアクセスを使い続けながら、より細やかな保護を必要とするアプリケーション、ユーザー、デバイス、ポリシーにはゼロトラスト制御を導入していくことができます。
これにより、企業は自ら近代化のスケジュールを設定できるようになります。VPNとゼロトラストを並行して運用することは、単線的な移行では得られないもの、すなわち「選択肢」を企業にもたらすのです。
近代化を新たな境界防御問題にしてはならない
ゼロトラストは、企業が安全なアクセスをどう捉えるかを変えつつあり、この流れが逆行することは考えにくいでしょう。しかしDBIRの数字は両刃の剣でもあります。より厳格な制御を後押しするその同じデータが、急ごしらえの移行の最中にVPNインフラを中途半端な管理状態のまま放置することへの警鐘も鳴らしているのです。
これを「レガシーVPN」か「ゼロトラスト」かの二択として捉えること自体が、問題の本質を見誤っています。真に取り組むべき課題は、今日の要件を満たしながら、明日のアーキテクチャへの現実的な道筋を描くアクセス戦略を築くことなのです。
企業は、前進するために信頼性の高い接続性を犠牲にする必要はありません。
