こんにちは！ネットワークやセキュリティの世界へようこそ。
インフラの世界に足を踏み入れたばかりの頃って、次から次へと横文字の専門用語が出てきて、「いったい何から覚えればいいの…？」と途方に暮れてしまいますよね。
今回は、そんなあなたと一緒に「ZTNA（ゼロトラストネットワークアクセス）」と「SASE（サセ）」という、今のセキュリティ業界で最も熱いキーワードの組み合わせについて、一歩ずつ紐解いていきたいと思います。
難しいパケットの構造や、頭が痛くなるような英語の仕様書は一旦置いておいて、まずは身近な世界のたとえ話からリラックスして始めていきましょう！
—
1. 昔ながらの「合鍵システム」と、これからの「厳重チェックシステム」
まずは、これまでの企業ネットワーク（境界防御）と、これからのゼロトラストの世界がどう違うのか、私たちの日常にたとえて考えてみましょう。
昔のオフィス：頑丈な「城壁」の中にいれば安心？
これまでのオフィスの仕組みは、いわば「分厚い城壁に囲まれたお城」でした。
会社の外から中に入る時は、門番（VPN）が厳しいチェックをしますが、一度お城の門をくぐってしまえば、中にある部屋（社内サーバーやファイル置き場）の鍵はすべて同じ「合鍵」で開いてしまう……そんな世界でした。
もし、悪意ある人がその「合鍵」をこっそり手に入れてしまったり、城の中に潜り込んでしまったりしたらどうなるでしょう？ そう、お城の中にあるすべての宝箱がノーチェックで開けられてしまいますよね。これが「境界防御」の限界です。
ZTNAとSASEの世界：城壁をなくし、すべての部屋に「専属の警備員」を置く
そこで登場するのが、今回の主役である「SASE（Secure Access Service Edge）」と「ZTNA（Zero Trust Network Access）」です。
イメージしてみてください。城壁という古い概念を取っ払い、世界中どこにいる社員（自宅のカフェでも、新幹線の移動中でも）であっても、アクセスしようとする「すべての部屋の入り口」に、厳格な警備員を配置する――これがゼロトラストの考え方です。
- 「あなた、本当にその会社の社員ですか？（ユーザー認証）」
- 「あなたが今使っているパソコン、ウイルスに感染していませんか？（デバイス認証）」
- 「その人が今、その部屋に入る正当な理由（最小権限の原則）はありますか？」
これらを毎回、例外なくチェックするのがZTNAの役割です。そして、そのセキュリティチェックをクラウドの巨大なネットワーク上でまとめて引き受けてくれるサービス全体を、私たちが「SASE」と呼んでいるんです。
—
2. ZTNAとSASEは、どうやってタッグを組んでいるの？
「ZTNAとSASEって、何が違うの？」と混乱してしまう初学者の方も多いのですが、関係性はとてもシンプルです。
- SASE（サセ）：クラウド上にある、セキュリティとネットワークの「総合デパート」。
- ZTNA（ゼットナ）：そのデパートの中にある、「身元確認と入室管理がめちゃくちゃ厳しいVIPルームへの通路」。
つまり、SASEという大きなクラウドの仕組みの中に、ZTNAというアクセス制御の機能が組み込まれているイメージですね。
社員がどこからアクセスしようとも、通信は必ず近くのSASEのクラウド（PoPと呼ばれる中継地点）を通過します。そこで「おや、この人は経理部の鈴木さんですね。パソコンも安全です。では、経理用のデータベースへの通路（ZTNA）を開放しましょう」という具合に、ダイナミックに道が開通する仕組みになっています。
—
3. 実務で触れる設定ファイルを見てみよう！
「概念は分かったけれど、実際のインフラ現場ではどんな設定をするの？」
ここからは、少しだけエンジニアらしい実務の世界を覗いてみましょう。
例えば、代表的なSASE/ZTNAソリューションにおいて、特定のクラウドアプリケーションや社内リソースへアクセスを許可する際のルール設定（イメージ）は、次のようなYAML形式のファイルで定義されることが多いです。
# ZTNA アクセス制御ポリシーのサンプル設定
policy_name: "Keiribu-Cloud-Access"
description: "経理部メンバーによる給与システムへのアクセス制御ポリシー"
# 1. 誰からのアクセスか（ユーザーとグループの指定）
target_users:
- group: "Keiribu-All"
- exclude_user: "temp_staff_01" # 派遣スタッフは一時的に除外
# 2. どんなデバイスからか（デバイスポスチュア／健康状態のチェック）
device_conditions:
os_type: ["Windows", "macOS"]
disk_encryption: true # ハードディスクが暗号化されていること
antivirus_running: true # 会社の指定アンチウイルスが稼働していること
# 3. どこへアクセスするか（リソースの指定）
destination_resources:
- app_name: "Salary-System-Production"
ip_address: "192.168.100.50"
port: 443
# 4. 許可アクション
action: "ALLOW_WITH_MFA" # 多要素認証（MFA）を突破した上でのみ許可このように、「誰が、どんな健康状態の端末で、どのリソースにアクセスしようとしているか」を細かく条件分岐して、安全が確認された通信だけを ALLOW（許可）していくのが、実務におけるZTNAの心臓部となります。
—
4. トラブルシューティングの現場から：よくある落とし穴
現場でZTNAやSASEを導入・運用していると、次のような相談やトラブルによく直面します。
> 「先生！ 設定を全部入れたのに、なぜか新しいSaaSに繋がりません…！」
そんな時、ネットワークスペシャリストである私たちが真っ先に疑うポイントをこっそりお教えしますね。
1. デバイスの「健康状態（ポスチュア）」が基準を満たしていない
- 「OSのアップデートをサボっていた」「社内指定のセキュリティソフトがバックグラウンドで停止していた」という理由で、ZTNA側から「おっと、君のパソコンは風邪気味だから通せないよ」と門前払いされているケースが本当に多いです。
2. DNSやルーティングの向き先が古いまま残っている
- VPN時代の名残で、社内向けの名前解決（DNS）がローカルを向いたままになっており、SASEのクラウドにうまくルーティングされていないパターンです。
「パケットが今どこで足止めを食らっているのか？」を、SASEの管理コンソールにあるリアルタイムのログ画面で追いかける。これが現代のネットワークエンジニアの醍醐味であり、腕の見せ所です。
—
まとめ：ゼロトラストは「疑うこと」ではなく「信頼を都度つむぐこと」
「ゼロトラスト」という名前を聞くと、「なんだか社内の人を全然信用してくれない冷たいシステムだな……」と感じてしまうかもしれません。
ですが、本質は真逆です。
働く場所がオフィスからカフェへ、自宅へと自由になった現代において、「どこにいても安全に、安心して仕事ができる環境を守るための優しいパスポート」が、このZTNAとSASEの統合アプローチなのです。
最初は覚えることが多くてめまいがするかもしれませんが、基本の「身元確認」「健康チェック」「最小限の権限」という3つのステップさえ押さえておけば、どんなに新しい製品やサービスが出てきても怖くありません。
一歩ずつ、ご自身のペースでインフラの世界を楽しんでいきましょうね！
コメント