--- title: "中小企業のゼロトラストの考え方｜AI-Ready.jp" url: https://www.ai-ready.jp/column/zero-trust-for-sme/ description: "ゼロトラストは、社内のネットワークの中も安全とはみなさず、アクセスのたびに確かめる考え方です。特定の製品を指すものではありません。中小企業はIDの確認・端末の状態・記録の3つから段階的に進められます。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- [柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) # 中小企業のゼロトラストの考え方 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12最終確認 2026-11-12出典 2件[図解 1点](https://www.ai-ready.jp/zukai/) この記事の結論 ゼロトラストは、「社内のネットワークの中なら安全」とはみなさず、システムやデータへのアクセスのたびに、誰が、どの端末から、何をしようとしているかを確かめる考え方です。特定の製品を指すものではありません。中小企業は、IDの確認（多要素認証）、端末の状態の確認、アクセスの記録の3つから、段階的に進められます。 自社の「基盤とセキュリティ」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) クラウドのサービスや在宅勤務が広がり、社員が社外から会社のシステムを使う場面は珍しくなくなりました。こうした中で、守りの考え方として紹介されることが増えたのが「ゼロトラスト」です。大企業向けの大がかりな仕組みと思われがちですが、考え方そのものは中小企業でも取り入れられます。この記事では、ゼロトラストの考え方と、中小企業での進め方を整理します。 この記事でわかること - ゼロトラストの意味と、これまでの境界型の守りとの違い - 公的な資料が示す基本的な方針 - 中小企業が取り組みやすい進め方 ## ゼロトラストとは何ですか？ デジタル庁の「ゼロトラストアーキテクチャ適用方針」（2022年6月30日策定。デジタル社会推進標準ガイドラインの DS-210）では、ゼロトラストを、境界の内部が侵害されることも想定し、情報システムやサービスへの要求ごとに、適切で必要最小限の権限でアクセスを制御する考え方として説明しています。あわせて、特定の製品や実装を指すものではないとしています。 ### これまでの守りとはどう違いますか？ これまでの守りは、社内と社外の境目にファイアウォールなどを置き、社外からの通信を止めて、社内は信頼できるとみなす考え方でした。これを「境界型」と呼びます。 境界型には、いったん社内に入られると、内側では自由に動かれてしまうという弱点があります。また、クラウドのサービスを使うと、守るべきデータが社内の境界の外にも置かれます。デジタル庁の適用方針も、クラウドの利用が広がると、ネットワークの境界だけでは不十分になるという考え方を示しています。 一方で、適用方針は、ゼロトラストは境界型の守りやネットワークにもとづく対策を否定するものではなく、それらを追加のアクセスの制御として扱えるとしています。境界型の守りとゼロトラストは、置き換えではなく組み合わせて使えるということです。 境界型の守りと、ゼロトラストの考え方 - **境界型**：社内と社外の境目で通信を止め、社内は信頼できるとみなします。いったん社内に入られると、内側で自由に動かれてしまう弱点があります - **ゼロトラスト**：境界の内部が侵害されることも想定し、**要求ごとに**必要最小限の権限でアクセスを制御します。目標を決めて繰り返し、成熟度を高めていきます - **組み合わせ**：境界型の守りを否定するものではなく、追加のアクセスの制御として扱えます。**置き換えではなく組み合わせ**て使えます ゼロトラストは特定の製品や実装を指すものではありません（デジタル庁「ゼロトラストアーキテクチャ適用方針」）。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「基盤とセキュリティ」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## 公的な資料は、どのような方針を示していますか？ デジタル庁の適用方針は、基本的な方針として次の6つを挙げています。 1. アカウント、端末、サービス、データといった対象を把握し、特定できる状態にする 2. 使う人の身元の確認と、本人であることの確認を行う 3. 安全とみなさず、通信の経路を暗号化するなどしてネットワークを守る 4. 対象の状態や設定が安全かを、常に確かめる 5. アクセスのルールで判断し、その結果のとおりに制御する 6. 対象とアクセスを観測する また、ゼロトラストは一度で終わるものではなく、目標を決めて繰り返し、成熟度を高めていくものとされています。その流れは、対象と業務の流れの把握、脅威とリスクにもとづく範囲の決定、導入、観測、評価と改善の5つで示されています。 ## 中小企業は、何から始めればよいですか？ 適用方針は政府の情報システムに向けた資料ですが、考え方は中小企業にも参考になります。限られた人数で進める場合は、次の3つから始めると取り組みやすくなります。 ### ① IDを確かめる 業務で使うクラウドのサービスとアカウントを一覧にし、社外からのログインには多要素認証を求めます。パスワードに代わるパスキーに対応しているサービスでは、その利用も検討します。退職した人や使っていないアカウントを止めることも、この段階で行います。 ### ② 端末の状態を確かめる 会社の情報を扱うパソコンやスマートフォンの一覧をつくり、OSやソフトウェアが更新されているかを確かめます。紛失したときに遠隔で使えなくする設定も、この段階で検討します。 ### ③ アクセスを記録して見る 誰が、いつ、どのサービスにログインしたかの記録を残し、ふだんと違うログインに気づけるようにします。クラウドのサービスによっては、ログインの記録を見る機能があります。まずは、どこで記録が見られるかを確かめるところから始められます。 この3つを進めたうえで、扱う情報の重要さに応じて、アクセスのルールを細かくしていきます。アカウントの管理の具体的な手順は[アカウントと権限の管理の基本](https://www.ai-ready.jp/guide/access-management-basics/)、クラウドの設定は[クラウドを安全に使うための基本](https://www.ai-ready.jp/guide/cloud-security-basics/)で説明しています。 ## 関連するひな形・ガイド・用語 ひな形 - [アカウントと権限の管理台帳](https://www.ai-ready.jp/templates/account-management-ledger/) - [SaaSの管理台帳](https://www.ai-ready.jp/templates/saas-inventory/) ガイド - [アカウントと権限の管理の基本](https://www.ai-ready.jp/guide/access-management-basics/) - [多要素認証・パスキーの導入の進め方](https://www.ai-ready.jp/guide/mfa-and-passkey-introduction/) - [クラウドを安全に使うための基本](https://www.ai-ready.jp/guide/cloud-security-basics/) - [SaaSの管理と棚卸しの進め方](https://www.ai-ready.jp/guide/saas-management/) コラム - [中小企業を狙うランサムウェアの手口と備え](https://www.ai-ready.jp/column/ransomware-and-sme/) - [パスキーとは：パスワードに代わるログイン](https://www.ai-ready.jp/column/passkey-explained/) 用語 - [ゼロトラスト](https://www.ai-ready.jp/glossary/zero-trust/) - [多要素認証](https://www.ai-ready.jp/glossary/multi-factor-authentication/) - [IDaaS](https://www.ai-ready.jp/glossary/idaas/) - [EDR](https://www.ai-ready.jp/glossary/edr/) - [SASE](https://www.ai-ready.jp/glossary/sase/) - [ログ](https://www.ai-ready.jp/glossary/log/) ## よくあるご質問 Qゼロトラストにするには、新しい製品を買う必要がありますか？ A製品を買うことが目的ではありません。デジタル庁の「ゼロトラストアーキテクチャ適用方針」でも、ゼロトラストは特定の製品や実装を指すものではないとされています。いま使っているクラウドのサービスの多要素認証や、端末の管理の機能を使うところから始められる場合があります。 Q社内のネットワークの守り（ファイアウォールなど）はやめてよいのですか？ Aやめる必要はありません。デジタル庁の適用方針では、ゼロトラストはネットワークにもとづく対策を否定するものではなく、追加のアクセスの制御として位置づけられています。いまの守りを残したまま、IDの確認や端末の状態の確認を加えていく進め方が取りやすくなります。 ## この記事に出てくる用語 - [ゼロトラスト](https://www.ai-ready.jp/glossary/zero-trust/) - [多要素認証](https://www.ai-ready.jp/glossary/multi-factor-authentication/) - [クラウド](https://www.ai-ready.jp/glossary/cloud/) - [ファイアウォール](https://www.ai-ready.jp/glossary/firewall/) - [暗号化](https://www.ai-ready.jp/glossary/encryption/) - [パスキー](https://www.ai-ready.jp/glossary/passkey/) - [SaaS](https://www.ai-ready.jp/glossary/saas/) - [ランサムウェア](https://www.ai-ready.jp/glossary/ransomware/) - [IDaaS](https://www.ai-ready.jp/glossary/idaas/) - [ログ](https://www.ai-ready.jp/glossary/log/) - [EDR](https://www.ai-ready.jp/glossary/edr/) - [SASE](https://www.ai-ready.jp/glossary/sase/) ## 「基盤とセキュリティ」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) [基盤とセキュリティAIのベンダーロックインはどう避けるか？依存を減らすより「出口」を用意する考え方石田誠2026-11-12](https://www.ai-ready.jp/column/avoiding-vendor-lock-in/)[基盤とセキュリティAIの電力消費と企業の考え方石田誠2026-11-12](https://www.ai-ready.jp/column/ai-energy-use/)[基盤とセキュリティAIツールの安全性をどう見るか石田誠2026-11-12](https://www.ai-ready.jp/column/evaluating-ai-tool-safety/) ## 出典 1. [デジタル庁「ゼロトラストアーキテクチャ適用方針」（2022年6月30日）](https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/5efa5c3b/20220630_resources_standard_guidelines_guidelines_04.pdf) 2. [デジタル庁「デジタル社会推進標準ガイドライン」（DS-210 ゼロトラストアーキテクチャ適用方針の掲載）](https://www.digital.go.jp/resources/standard_guidelines) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. ゼロトラストとは何ですか？ 2. 公的な資料は、どのような方針を示していますか？ 3. 中小企業は、何から始めればよいですか？ 4. よくあるご質問 この記事が扱う柱 主に「基盤とセキュリティ」 [基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「中小企業のゼロトラストの考え方｜AI-Ready.jp」 https://www.ai-ready.jp/column/zero-trust-for-sme/