22-1 毎回確かめる考え方（Zero Trust）
会社の建物では、入口で社員証を見せれば、あとは中のどの部屋にも入れることがあります。入口さえ固めれば安心だ、という考え方です。
ところが、社員は自宅や出先からも仕事をします。どこまでが中でどこからが外か、という線を引けなくなりました。
いま読んでいるこのサイト（Cloudflare Lab）でも、第 9 章から第 21 章にかけて、部屋・通路・制服を別々に作りました。この節では、その三つの土台にある考え方を押さえます。
Learning goals
この節でできるようになること
- 入口だけを固める守り方が通用しなくなった理由を言える
- Zero Trust が何をやめて何を始める考え方かを言える
- VPN と ZTNA の違いを三つの観点で言える
- 毎回の確認に使う材料を三つ挙げられる
1. 「中にいるから信用」をやめる
Section titled “1. 「中にいるから信用」をやめる”入口に堀と門を作り、門をくぐった人は全員信用する。公式はこの守り方を castle-and-moat の模型と呼びます。外から入るのは難しい代わりに、中の人は既定で信用されます。
困るのは、攻撃する側が一度だけ門を抜けたときです。公式は、いったん入られると中のすべてを自由にされると説明しています。色々な場所と端末から使う今、固定した境界はもう有効ではありません。
そこで出てくるのが Zero Trust です。公式は、principle of least privilege（必要最小限だけを与える原則）を軸に設計された守りの模型だと説明しています。脅威は外にも中にもあると考え、すべての要求を確かめてから通します。
左は堀で囲んだ城、右は部屋ごとに警備員が立つ建物です。中にいる人でも、部屋の前でもう一度確かめられます。
つまり、Zero Trust は「どこにいるか」で信用するのをやめる考え方です。
2. VPN との違い
Section titled “2. VPN との違い”VPN（仮想的な専用線）は、外にいる人が社内にいるかのように使うための仕組みです。公式は、通信を暗号化し、端末と社内側の機器の間に VPN tunnel という道を作る、と説明しています。
問題は、その道が「建物ごと」開けてしまう点です。公式は、VPN が境界型で、入った人に社内網の全体を渡すと指摘しています。
置き換えの主役が ZTNA（Zero Trust Network Access）です。公式は、VPN からより安全な形へ移る中心の技術だと説明しています。
左は建物全体の合鍵、右は必要な部屋の鍵だけです。渡す鍵が小さいほど、失ったときの被害も小さくなります。
公式は、違いを三つの観点で並べています。
- 内部の脅威: VPN は入った人を暗黙に信用し、ZTNA は本人確認を続けます。
- 網の守り: ZTNA は micro-segmentation を助け、特定のアプリだけを許して他は既定で断ります。
- 速さ: ZTNA は社内の機器ではなく雲の側で繋ぐので、どこからでも速度が落ちにくくなります。
つまり、VPN は建物を渡し、ZTNA は部屋を渡します。
3. 毎回確かめる材料
Section titled “3. 毎回確かめる材料”「毎回確かめる」と言われても、何を見るのかが分からないと使えません。公式は、すべての要求を identity and context（誰であるかと、その時の状況）に基づいて許可すると説明しています。
材料は三つです。誰か、どの端末か、どこへ行くか。誰かは Cloudflare Access が扱い、端末の状態は Cloudflare One Client が集める device posture（端末の健康診断の結果）で見ます。行き先は Secure Web Gateway が見ます。
三つが揃うと、「この人が、会社の端末から、この部屋に入る」という単位で許可を決められます。
三枚の確認札が並び、すべてに印が付いたときだけ扉が開きます。一枚でも欠ければ開きません。
つまり、確認の材料は、誰・どの端末・どこへ行くの三つです。
4. これまでの章との対応
Section titled “4. これまでの章との対応”この考え方は、第 9 章以降で作ったものと対応します。関係者専用の部屋は Cloudflare Access、裏口の専用通路は Cloudflare Tunnel、端末に着せる制服は Cloudflare One Client です。
三つはばらばらの製品に見えますが、公式は、これらを一つの土台に載せた platform を Cloudflare One と呼んでいます。第 22 章の残りは、この一枚の地図を描く作業です。
部屋・通路・制服の三つの札が一枚の地図に並びます。次の節から、この地図の名前と描き方を扱います。
つまり、これまでの三章は、同じ考え方の別々の入口でした。
Cloudflare Lab での使われ方
Section titled “Cloudflare Lab での使われ方”ここで紹介した考え方が、いま読んでいる Cloudflare Lab でどう使われているかを見ます。
Cloudflare Lab の管理用のページには、第 9 章で Cloudflare Access の扉を付けました。通路と制服は、作者の手元のパソコンを教材にして試す予定です。三つを一枚の地図にまとめた結果と実測は、実装後に追記します。
つまずきやすいところ
Section titled “つまずきやすいところ”この節のまとめ
Section titled “この節のまとめ”- 入口だけを固める castle-and-moat の守り方は、働く場所が広がり成り立たなくなりました。
- Zero Trust は、中にいるかで信用せず、要求のたびに確かめてから通す考え方です。
- 確かめる材料は、誰・どの端末・どこへ行くの三つです。
この節で出てきた言葉を、つながりの順に並べると次のようになります。
図のラベル: 入口だけを固める守り castle-and-moat / 中にいるから信用 をやめる / 毎回確かめる考え方 Zero Trust / 部屋だけを渡す ZTNA / 確かめる材料 誰・端末・行き先 / 部屋・通路・制服 第 9・20・21 章
次の節では、この考え方を含む全体像に付いた名前（SASE）と、その中身を見ます。
この節のチェック
© 2026 osdse