脱IT初心者「社長の疑問・用語解説」（第103回） 信用できない？ VPN再考

ネットワークセキュリティ

公開日：2026.07.30

　サイバー攻撃が心配だが、今のセキュリティ対策で十分なのか経営判断が難しい。そんなIT初心者の社長にも分かりやすく理解できるようにITキーワードを解説する本連載。今回は、もしかしたら見直しが必要になるかもしれない「VPN」だ。

「この前行った組合の会合で、A社がサイバー攻撃に遭ったらしいって話題になったよ。うちも他人事じゃないな」（社長）
「私もその話、聞きました。VPN（仮想専用線）装置が狙われたみたいですね」（総務兼IT担当者）
「なんだって。VPNはうちも導入しているだろう」
「はい、リモートワークや拠点間通信には欠かせませんから」
「狙われる危険があるなら、使わない方がいいんじゃないか。何か対策はあるのか？」

資料DLバナー_VPN関連.png

セキュリティ対策は「多層防御」が重要

　VPNは、自宅や外出先から社内のネットワークにアクセスするなど、拠点間通信の際によく用いられます。トンネリングなどの技術によって安全性を高める通信方法ですが、近年はVPN装置の脆弱性を狙ったサイバー攻撃が多発しています。そのリスクを回避すべく、すべてのアクセスに対して都度認証・認可を行うZTNA（ゼロトラストネットワークアクセス）を採用する企業も見られます。
　仮にZTNAを導入しなかったとしても、セキュリティ対策は外部からの脅威に備えた「入口対策」のみならず、万が一脅威が侵入した場合の「内部対策」や、情報漏えいを防ぐ「出口対策」の3つを講じる多層防御が重要です。

T-20-103.jpg

VPNは一度認証を突破されると社内に被害が拡大する可能性があるが、ZTNAは継続的な認証・必要最小限の権限付与などによってセキュリティ性を高めている

VPNを狙ったサイバー攻撃が増加

　VPNは暗号通信で安全性が高くやり取りできることから、拠点間の接続やリモートアクセスなどでも盛んに使われています。しかし、VPN装置のセキュリティパッチを適切にあてていない、管理者が類推されやすいパスワードを使っているといったセキュリティの不備を狙われ、サイバー攻撃の被害に遭うケースもあります。
　また、VPN自体には接続時に認証する仕組みはあるものの、一度認証されれば、社内ネットワークのさまざまなシステムに入り込んで情報を盗み取ることも可能です。こうしたリスクを避けるため、VPNの設定を見直したり、他の対策を検討したりする動きもあるようです。

VPNに代わるセキュリティ対策

　VPNの環境下では、一度認証されたユーザーは、社内ネットワークのさまざまな領域へ容易にアクセスすることが可能です。つまり、万が一外部から侵入された場合、被害が広範囲に及ぶ恐れがあります。そこで昨今のネットワークセキュリティでは、ユーザーやデバイスに対して継続して認証を行う、ゼロトラストという考え方が注目されています。
　ZTNAはゼロトラストの考えに基づき、ID・パスワードや生体認証などの手段で継続的にアクセスの認証・認可を行います。また、認証後も各ユーザーに付与された権限下でデータやアプリを表示するため、社内外のセキュリティ強化に有用だと言えます。

VPNの存在意義とは

　日々進化するサイバー攻撃に対抗する上で、ZTNAは選択肢の1つになり得ますが、VPNの完全な代替手段ではありません。例えば複数の拠点でサーバーやプリンターを共有していたり、IP-VPNを利用していたりする企業では、VPNの方が利便性や通信安定性などの面で優位だと言えます。他にも初期費用や運用コストの面で導入に踏み切れない企業も少なくありません。
　自社にとってどのような環境が最適なのかは、業務内容やリソースなど多角的な観点での判断が必要となります。詳しくはIT事業者も交えつつ、慎重に検討するのが望ましいでしょう。

「VPNはとても便利なものなので、適切なセキュリティ対策を講じつつ、今後も活用していきたいですね」（総務兼IT担当者）
「すぐにVPNをやめるのは難しそうだな。セキュリティ対策の見直しは定期的に行われているのか？」（社長）
「もちろんです。多要素認証の導入や、アクセス監視などはすでに実施しています」
「うーん、どうも君の言うことは信用できないんだよな。まさにゼロトラストだ」

※掲載している情報は、記事執筆時点のものです

執筆＝山崎 俊明

【MT】

VPNワイド

あわせて読みたい記事

「ネットワークセキュリティ」カテゴリーから探す

連載バックナンバー

脱IT初心者「社長の疑問・用語解説」

もっと見る

カテゴリー　一覧