“脱VPN”方針の大手エネルギー企業、だがZTNA移行の成功パターンが分からず…　どうすればよい？

2026年05月07日 11時00分更新

文●大塚昭彦／TECH.ASCII.jp

提供: フォーティネット

■今回のストーリー：

　大手エネルギー企業のV社では、近年、エネルギー業界を狙って多発しているランサムウェア攻撃への対策を進めていた。政府が定める重要インフラ領域に該当するため、ガイドラインに沿ってセキュリティ方針を定め、すでにCSIRTの設置やBCPの整備、継続的なリスクアセスメントなど、全社的にサイバー攻撃対策を推進している。

　V社のセキュリティ担当部門では、サイバーセキュリティ強化の一環として“脱VPN”の本格検討を始めたところだ。

　V社の本社、国内外の各拠点、ガスプラントなどには、リモートアクセス用のVPN装置が設置されている。しかし近年、企業のVPN装置が、ランサムウェア攻撃者の“侵入口”として狙われるようになった。

　実際に、V社のVPN装置でも、サイバー攻撃の偵察行動と思われる国外からのアクセスログを毎日観測している。実被害こそ発生していないものの、リスクの高い状況は続いており、何らかの対策を打たなければならない。

　そこでV社では、リモートアクセスの“脱VPN”を実施し、それに代わるセキュリティ対策として「ZTNA（ゼロトラストネットワークアクセス）」を導入する方針を固めた。

　しかし、全社的なZTNAへの移行はそう簡単ではなさそうだ。具体的な移行計画の検討を始めたV社のセキュリティ部門は、早々に頭を抱えてしまった。

　V社では、20年以上前からリモートアクセスVPNを利用してきた。現在でも社員のVPN利用率は高く、「VPNがなければ仕事が回らない」と断言する現場もある。ZTNAへの移行は、業務への影響を抑えながら進めなければならない。

　また、V社内で利用されている業務アプリケーションが、クラウド（SaaSやIaaS）とオンプレミス（自社データセンター）に分散していることも問題だ。接続先のアプリに合わせてZTNAを実現する手法や製品、ネットワーク構成を変えると、導入や運用管理が複雑になり、新たなセキュリティリスクを生みかねない。

　このように、ZTNAが掲げる理想は美しいものの、実際の移行には多くのハードルが存在するようだ。それでもZTNAへの移行は至上命令であり、サイバー脅威の状況を考えると、できるだけスムーズに、短期間で終わらせたい。いったいどこから手を着ければよいのか。……ZTNA移行という難題に“成功パターン”などあるのだろうか？

※このストーリーはフィクションです。実在する組織や人物とは関係ありません。

VPNという古い仕組みは「攻撃に悪用しやすい魅力的なターゲット」

　近年、リモートアクセスVPNの利用をやめる“脱VPN”の動きが加速している。

　その直接的なきっかけは、VPNをターゲットとしたサイバー攻撃の増加だ。警察庁によると、2022年以降のランサムウェア被害報告のうち、「VPNの悪用」が起点となったケースが6割以上を占めるようになっている。

　なぜ、サイバー攻撃者たちはVPNをターゲットとするのか。それは、30年以上前に登場したVPNの“仕組み（構造）”そのものが、現在では古く、脆弱なものになっているからだ。

　VPNは、インターネットからアクセスできる場所にVPNゲートウェイを設置し、そこでユーザー認証ができたら内部ネットワークへのアクセスを許可するという、シンプルな仕組みを提供する。

　この仕組みは、攻撃者側から見ると「攻撃に悪用しやすい魅力的なターゲット」だと言える。「いつでも、誰でもアクセスできる」入り口が用意されており、ひとたび認証さえ通過（突破）できれば、「企業ネットワーク内で自由にアクセス（攻撃活動）ができる」権限が得られるからだ。

　VPNが抱える“仕組み上の問題”はこれだけではない。ここでは詳細は割愛するが、以下の記事もぜひご一読いただきたい。

■フォーティネットジャパン・Field CISO 登坂恒夫氏の記事
　【提言】「VPNの安全性」が通用しない時代　ZTNAへの困難な移行を経営層はサポートせよ

SSL-VPNからIPsec-VPNに移行しても“仕組みの古さ”は変わらない

　“脱VPN”が加速するもうひとつの背景として、フォーティネットが2025年4月、FortiOS（FortiGate）のSSL-VPN機能を廃止する方針を発表したことも挙げられる。FortiGateが提供するSSL-VPN機能は多くの企業で利用されており、この発表をきっかけにVPNの見直しを始めたケースも多いだろう。

　SSL-VPN機能が使えるFortiOS 7.4.xは、2027年5月に通常のバグ修正などのエンジニアリングサポートが終了（EOES）する。なお、メーカーによる技術サポートおよび重大な脆弱性に対するセキュリティパッチの提供は2028年11月のサポート終了（EOS）まで継続されるものの、日々の安定稼働を考慮すると、2027年5月までに代替手段への移行を済ませておく必要があるだろう。