「VPNをやめろ」と書いた一次資料は1つだけ｜法人向けVPNとゼロトラスト

2026年9月3日 16:09

「もうVPNの時代は終わった。
これからはゼロトラストだ」。
ここ数年、この見出しを何度も見かけます。

たしかに、狙われているのは事実です。
警察庁の資料によれば、ランサムウェア被害に遭った組織へのアンケートで、侵入経路はVPN機器が6割以上を占めています。
JPCERT/CCが「国内で被害を確認している」と明記した注意喚起も、2025年だけで複数出ています。

では、VPNは捨てるべきなのか。
一次資料を開くと、話は少し違いました。
NISTも総務省もデジタル庁も、VPNの廃止は求めていません。
それどころか、NISTが2025年に出したゼロトラストの実装例には、VPN製品が構成部品として入っています。
「VPNに頼らずに」と明記した文書は1つだけありますが、それは米国連邦政府機関に宛てた指示文書です。

この記事では、法人向けVPNの現在地を、統計と注意喚起で確認したうえで、ゼロトラストが実際のところ何を言っている考え方なのかを、提唱元の文書に沿って整理します。

この記事は、警察庁の令和7年の統計とIPAの10大脅威2026を含む各国の一次資料をもとに、2026年9月時点の内容にしています。

法人向けVPNには、2つの使い方がある

前提を先に置きます。
法人が使うVPNには、目的の違う2つの用途があります。

拠点間接続：本社と支社のネットワークを、暗号化されたトンネルでつなぐ。両端に機器を置く
リモートアクセス：社外にいる従業員が、社内システムに入る。会社側の入り口に機器を置く

ゼロトラストの文脈で問題になっているのは、ほぼ後者です。
拠点間接続のほうは、つなぐ相手も経路も固定されているので、話の性質が違います。

従来型とクラウド型

リモートアクセスの実現方法は、大きく2つに分かれます。

従来型：自社のネットワークの入り口にVPN機器を置く。初期費用がかかり、機器の保守と更新を自社で抱える
クラウド型：VPNの機能をクラウドサービスとして借りる。機器を持たないので、利用者数の増減に合わせやすい

このクラウド型を指す言葉として、ZTNAやSASEという用語が使われます。
この2つの言葉がどこから来たのかは、後ろの章で扱います。

VPN機器が狙われているのは、事実

まず、危機感の側を正確に押さえます。

警察庁の統計

警察庁サイバー警察局「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）は、令和7年のランサムウェアの被害報告件数を226件としたうえで、侵入経路についてこう書いています。

被害組織へのアンケート結果によると、侵入経路は VPN（Virtual Private Network）機器が６割以上を占める状況である。

ここは読み方に注意が要ります。
この6割という数字の母数は「被害組織へのアンケート」であって、被害報告件数226件ではありません。
件数の内訳も資料には出てきません。

前年の令和6年版では、表現が少し違います。

上述のアンケート結果によると、VPN やリモートデスクトップ用の機器からの侵入が、全体の感染経路の８割以上を占める状況である。

こちらは「VPNとリモートデスクトップを合わせて8割以上」です。
VPN単独の数字ではありません。
ネット上で「VPNが8割」という書き方をよく見かけますが、それは2つの経路を足した数字です。

令和7年版は、この傾向の背景をこう説明しています。

近年は、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている。

メールを開かせる手口から、外に見えている装置を直接叩く手口へ、重心が移ったということです。

国内で被害が確認された脆弱性

JPCERT/CCの注意喚起には、「国内で被害を確認している」という文言が入るものと入らないものがあります。
入っているものだけを並べると、2025年はこうなります。

Ivanti Connect Secure ほか（CVE-2025-0282）／2025年1月9日。注意喚起には、脆弱性の公開前である2024年12月下旬から悪用された被害を国内で複数確認している、と書かれています
Fortinet製FortiOSおよびFortiProxy（CVE-2024-55591）／2025年1月15日（2025年5月9日更新）。2025年3月以降に国内で発生したインシデントで、この脆弱性が悪用された事例を確認したとあります
Ivanti Connect Secure ほか（CVE-2025-22457）／2025年4月4日。国内ホストで悪用と思われる攻撃が発生していることを確認、とあります
Array Networks Array AGシリーズ／2025年12月3日。2025年8月以降に国内で攻撃が発生し、当該製品にWebshellが設置される被害につながった事案を確認、とあります。この注意喚起の公開時点でCVE番号は採番されていませんでした

いずれもリモートアクセス用の装置です。
狙われている場所がはっきりしています。

一方で、「影響を受けるホストが国内に多数ある」という注意喚起と、「国内で被害を確認した」という注意喚起は別物です。
たとえばCitrix NetScalerの脆弱性（CVE-2025-7775、2025年8月27日）は、公開時点では国内での悪用は確認できていないと明記されています。
危機感を持つのは正しいのですが、全部が同じ濃さの話ではありません。

IPAの位置づけ

IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）の組織編では、「リモートワーク等の環境や仕組みを狙った攻撃」が8位で、6年連続6回目の選出です。
IPAの解説資料は、リモートワーク用に導入されているVPN機器等の脆弱性や設定ミスを悪用して組織内システムへ侵入する、という形でこの脅威を説明しています。

4位の「システムの脆弱性を悪用した攻撃」（6年連続9回目）の解説でも、IPA自身の注意喚起として「VPN機器等に対するORB（Operational Relay Box）化を伴うネットワーク貫通型攻撃のおそれについて」（2025年10月31日）が挙がっています。

IPAはこのORBを「攻撃の中継拠点」と説明しています。
ここが少し性質の違う怖さで、乗っ取られた機器は、自社が攻撃されるだけで終わらず、他組織を攻撃するための踏み台として使われます。
被害者であると同時に、加害の経路になるということです。

なぜ入り口の装置が狙われるのか

理由は単純で、条件が揃いすぎているからです。

インターネットに露出している。攻撃者から見つけやすい
全社員の通り道なので、止めて更新する時間を取りにくい
認証を1回通れば、その先に入れる設計になっている
導入したあと、何年も触らないまま動き続けていることが多い

最後の点が実務ではいちばん効きます。
買ったときは最新でも、5年経てばサポートの切れた機器になっている。
それでも動いてしまうので、誰も気づきません。

従来型VPNの構造的な弱点

技術的な弱点は1つに集約できます。
最初の認証さえ通れば、その先を比較的自由に動けるという設計です。

これは欠陥ではなく、設計思想です。
VPNは「社内ネットワークの外側にいる人を、内側に入れてあげる」ための技術なので、内側に入れた以上は内側の住人として扱います。
境界の内側は信用する、という前提です。

この前提が崩れる条件が2つあります。
1つは、認証情報が盗まれた場合。
もう1つは、装置そのものの脆弱性を突かれて、認証を経ずに入られた場合です。
前の章で並べた事例は、後者にあたります。

そして、いったん中に入られると、境界型の設計では中の動きを止めにくい。
ランサムウェアの被害が「1台で済まない」のは、この構造が理由です。

一次資料は、VPNの廃止をどう書いているか

ここからが本題です。
ゼロトラストを提唱している側の文書を、実際に開いてみます。

NIST SP 800-207

ゼロトラストの定義として最も引かれるのが、米国国立標準技術研究所（NIST）の Special Publication 800-207「Zero Trust Architecture」（2020年8月）です。

この文書に「VPN」という語が出てくるのは、2箇所です。
1つは、リモートの利用者がパブリッククラウド上のサービス（たとえばメール）を使うのに、いったん社内ネットワークへ戻るリンクを必須にすべきではない、という趣旨の記述。
もう1つは、ある性質について、それは従来のリモートアクセスVPNにもあることでゼロトラストに固有のものではない、と断っている箇所です。

前者は、いわゆるヘアピン構成の否定です。
クラウドに行くだけの通信を、わざわざ会社の入り口まで引き戻して、そこからまたインターネットに出す。
遠回りで遅くなるし、入り口に負荷が集まる。
この構成をやめろという話であって、VPNという技術を捨てろという話ではありません。

NIST SP 1800-35

もっとはっきりしているのが、2025年6月に最終版が出た SP 1800-35「Implementing a Zero Trust Architecture」です。

NISTのNCCoEが24社と共同研究開発契約を結び、市販製品を組み合わせて19のゼロトラスト実装例をラボに構築した、という文書です。
理屈ではなく、実際に組んで動かした記録です。

その19例のうちの1つに、Palo Alto Networks の GlobalProtect という VPN 製品が、構成部品として入っています。
ゼロトラストの実装例に、VPNが部品として使われている。
「ゼロトラストとVPNは対立概念だ」という理解では、この文書は読めません。

VPNの限界を正面から論じている文書もある

ただし、NISTがVPNの限界を書いていないわけではありません。
SP 800-215「Guide to a Secure Enterprise Network Landscape」（2022年11月17日）には、2.2節「Limitations of VPN-based Access」という節があり、次の4点が挙げられています。

クラウド利用が増えたのに、VPNの接続は会社のネットワークの端で終端する。そのためクラウドへ行く通信まで会社の入り口に着地し、そこからまたインターネットへ戻ることになる。この現象をヘアピン構成と呼び、距離が伸びて遅延が増え、通信の詰まりを生みうる
脆弱性が定期的に公表される。セッションの乗っ取りやアカウントIDの抜き取りが例として挙げられている
ハードウェアとして導入した場合、同時に接続できる人数に上限ができ、拡張性が制限される
多くの場合エージェントの導入が必要で、社外の関係者が多い場面では配りきれない

読むと分かるとおり、これは「危険だからやめろ」ではなく「向いていない場面がある」という整理です。
クラウド中心の使い方には合わない、という指摘が中心です。

日本の文書はどうか

総務省「テレワークセキュリティガイドライン第5版」（令和3年5月）は、VPN方式をテレワークの方式のひとつとして中立的に解説したうえで、第2章に「ゼロトラストセキュリティの考え方」という節を別に置く構成です。
VPNの廃止は求めていません。
なお、このガイドラインは第5版が最新で、それ以降の版は出ていません。

デジタル庁の「ゼロトラストアーキテクチャ適用方針」（DS-210、2022年6月30日）も、参考文書という位置づけで、初版のまま改定されていません。

はっきり言っているのは1つだけ

「VPNに頼らずに」と明確に書いている一次資料は、1つあります。
米国行政管理予算局（OMB）の Memorandum M-22-09「Moving the U.S. Government Toward Zero Trust Cybersecurity Principles」（2022年1月26日）に、次の一文があります。

Making applications internet-accessible in a safe manner, without relying on a virtual private network (VPN) or other network tunnel, is a major shift for many agencies that will take significant effort to achieve.

「VPNやその他のネットワークトンネルに頼らずに、アプリケーションを安全にインターネットからアクセスできるようにすること」を求めています。
ただし、これは米国連邦政府機関に対する指示文書です。
そしてこの文自身が、多くの機関にとって大きな転換であり、達成には相当な労力を要すると認めています。

つまり、「VPNをやめろ」という強い主張は存在しますが、それは米国政府が自分の機関に対して出した命令であって、日本の一般企業に向けた技術的な結論ではありません。
この違いを飛ばして引用されているのを、よく見かけます。

ゼロトラストとは、結局どういう考え方か

定義に戻ります。
NIST SP 800-207 の定義は、CISAのゼロトラスト成熟度モデルのページにも同じ定義が引かれています。

Zero trust provides a collection of concepts and ideas designed to minimize uncertainty in enforcing accurate, least privilege per-request access decisions in information systems and services in the face of a network viewed as compromised.

「ネットワークはすでに侵害されているとみなしたうえで、リクエストごとに、正確で最小権限のアクセス判断を下す。
その際の不確実性を最小化するための、概念と考え方の集まり」という趣旨です。

ここで押さえておきたいのは2つです。

1つは、ゼロトラストは製品ではなく考え方だということ。
NISTの定義は「概念と考え方の集まり（a collection of concepts and ideas）」と書いています。
買ってきて入れれば済むものではありません。

もう1つは、判断の単位がリクエストごと（per-request）だということ。
入り口で1回確認して、あとは中の住人として扱う従来型と、ここが決定的に違います。

CISAのゼロトラスト成熟度モデル（バージョン2.0、2023年4月）は、これを5つの柱と3つの横断的な能力に分けて、それぞれについて従来型・初期・高度・最適という4段階の成熟度を示す形にしています。
「ゼロトラストになったかどうか」ではなく、「どの領域が、どの段階まで来ているか」で測る作りです。
一足飛びに移行するものではない、という前提が形式そのものに表れています。

ZTNA・SASE・SDPという言葉の出どころ

ゼロトラストの説明には、必ずこの3つの略語が出てきます。
ここは、どこが決めた言葉なのかを知っておくと、読み方が変わります。

ZTNA（Zero Trust Network Access）：調査会社Gartnerが定義した、製品・サービスのカテゴリ名です。Gartnerは、企業の利用者と社内でホストされているアプリケーションを囲む、アイデンティティとコンテキストに基づく論理的なアクセス境界を作る製品・サービス、と定義しています。標準化団体が決めた規格の名前ではありません
SASE（Secure Access Service Edge）：2019年8月にGartnerが提唱した市場カテゴリです。広域ネットワークの機能と、セキュリティの機能をひとまとめにしてクラウドから提供する、という括り方をしています。ただしその後、業界標準団体のMEF（現Mplify Alliance）が2022年にMEF 117として標準を発行しており、完全なマーケティング用語とも言い切れなくなっています
SDP（Software Defined Perimeter）：この3つのうち、最も早くから仕様書を持っています。業界団体のCloud Security Alliance（CSA）が2014年にv1.0、2022年3月にv2.0を発行し、2026年5月にはArchitecture Guide V3が出ています。ただしCSAは非営利の業界団体であって、ISOやIETFのような公的標準化機関ではありません

面白いのは、NIST自身の扱いです。
SP 800-215 はSASEについて、業界と業界コンソーシアムが使っている用語だという書き方をしたうえで、その典拠として業界メディアの解説記事を参考文献に挙げています。
標準を作る側の機関が、この言葉については業界の文献を引くしかなかったということです。

だから使うなという話ではありません。
ただ、「ゼロトラスト」はNISTが定義した概念、「ZTNA」と「SASE」は調査会社が作った市場の区切り方だと分かっていれば、製品の売り文句と技術の中身を分けて読めます。

移行を考えるときに、実際に詰まるところ

考え方は分かった、として、実務で引っかかるのは次の3点です。

併存させると、入り口が2つになる。
「念のためVPNも残しておく」という判断は自然なのですが、攻撃される可能性のある面はその分だけ増えます。
移行するなら、VPNをいつ止めるかを最初に決めておくほうが、結果的に安全側に倒れます。

古い業務アプリが動かない。
VPN経由なら動いていた社内システムが、アプリケーション単位でアクセスを許可する仕組みの上ではうまく動かない、というのはよくある話です。
何を使っているかの棚卸しが先になります。

認証基盤がないと、管理が二重になる。
リクエストごとに判断するには、誰が何にアクセスしてよいかを一元管理する仕組みが要ります。
それがない状態で導入すると、VPNの管理とサービス側の管理を別々に抱えることになります。

そして、いま使っているVPN機器についてやることは、移行の検討とは別に、いますぐあります。
前の章で並べた被害事例は、いずれもインターネットに面した装置の脆弱性を突かれたものでした。
うち1件は脆弱性の公開前から悪用が確認されており、もう1件は注意喚起の時点でCVE番号すら採番されていません。
修正プログラムを当てるだけでは足りない場面がある、ということでもあります。

VPN機器が入口になった場合を想定した手順を、別の記事で配っています。
被害が出た朝の動きと、報告書式6種をまとめています。

2026年9月時点の最新状況

NISTの実装ガイドが完成しました。
前述のSP 1800-35の最終版が出たのは2025年6月です。
「概念は分かるが、何を買ってどう組むのか」という段階の資料が、公的機関から出たことになります。

日本のサイバーセキュリティの司令塔が変わりました。
内閣サイバーセキュリティセンター（NISC）が改組され、2025年7月に内閣官房「国家サイバー統括室」（NCO）が設置されました。
サイト自体も cyber.go.jp に移っています。
政府機関等のサイバーセキュリティ対策のための統一基準は令和7年度版が最新で、令和7年7月1日決定。
対策基準策定のためのガイドラインは、令和8年6月に一部改定されています。
行政の文書を参照するときは、組織名もURLも変わっている点に注意が要ります。

日本のゼロトラスト関連文書は、更新が止まっています。
デジタル庁のDS-210は2022年6月30日の初版のまま、総務省のテレワークセキュリティガイドラインは令和3年5月の第5版のままです。
日本語の一次資料を探すとこの2つに行き着きますが、いずれも数年前の文書である点は押さえておいたほうがよさそうです。

脅威の側は、顔ぶれが変わっていません。
IPAの10大脅威2026で「リモートワーク等の環境や仕組みを狙った攻撃」が6年連続6回目の選出です。
6年間、同じ場所が狙われ続けているということでもあります。

まとめ

法人向けVPNには拠点間接続とリモートアクセスの2用途があり、ゼロトラストの文脈で問題になるのは後者
警察庁の令和7年の資料では、被害組織へのアンケートで侵入経路のVPN機器が6割以上。ただし母数はアンケートであって被害報告件数226件ではなく、件数の内訳も資料にはない
「VPNが8割」という数字は、令和6年版の「VPNとリモートデスクトップを合わせて8割以上」を指している。VPN単独の数字ではない
従来型VPNの弱点は「最初の認証を通れば中を動ける」という設計。これは欠陥ではなく設計思想で、前提が崩れると効く
NISTもデジタル庁も総務省も、VPNの廃止は求めていない。NISTの2025年の実装ガイドは、19の実装例の1つにVPN製品を組み込んでいる。「VPNに頼らずに」と明記した文書は1つあるが、それは米国連邦政府機関に宛てたOMB M-22-09
ゼロトラストは製品ではなく考え方で、判断の単位がリクエストごとになる点が従来型と決定的に違う
ZTNAとSASEはGartnerが作った市場カテゴリ名で、出発点は規格ではない。SASEには後から業界標準（MEF 117）が付き、SDPは2014年からCloud Security Allianceの仕様書がある

VPNをやめるかどうかより先に決めることがあります。
いま入り口に置いてある装置は、修正プログラムが当たっていて、サポートが続いていて、管理画面が外から見えない状態になっているか。
答えが出ないのであれば、次の技術を検討する前にそこからです。

みなさんの会社では、リモートアクセスの入り口は、いま誰が面倒を見ていますか。