CloudflareとZscalerのゼロトラスト比較

VPNの見直しやSASE導入を進めるとき、Cloudflare One、Zscaler、Netskopeが候補に挙がることがあります。いずれもゼロトラストを掲げていますが、得意な領域や製品のまとめ方は同じではありません。

社員のインターネット利用を守りたいのか、社内アプリへの接続を変えたいのか、SaaS上のデータを細かく管理したいのか。導入目的を分けて比べると、自社に必要な構成が見えてきます。

Cloudflare One・Zscaler・Netskopeを比較

表は機能の有無だけを示すものではありません。同じ「DLP」や「CASB」でも、検査できる通信、対応するSaaS、端末要件、ログの持ち方が異なります。自社の利用シーンでPoCを行うことが大切です。

Cloudflare Oneは外向け・内向けの基盤をそろえやすい

Cloudflare Oneは、Access、Gateway、Cloudflare Tunnel、DLP、CASBなどをCloudflareのネットワーク上で提供します。すでにWebサイトのCDNやWAFでCloudflareを使っている企業は、外向けのアプリ防御と社員向けアクセスを同じベンダーへ寄せる選択肢になります。

ただし、Webサイトを守るApplication Servicesと、社員の通信を守るCloudflare Oneでは、対象もポリシーも異なります。同じCloudflareだから設定が共通になる、と考えず、管理者とログを分けて設計します。

ZscalerとNetskopeはSSEの設計思想に特徴がある

Zscalerは、インターネットやSaaSへの接続を保護するZIAと、社内アプリへ接続するZPAを中心にゼロトラスト環境を組み立てます。既存VPNやプロキシを大規模に置き換える際に比較されやすい製品です。

Netskope Oneは、SSEとSD-WANを組み合わせ、CASBやDLPによるクラウド・データ保護を重視しています。SaaSの利用状況や機密データの移動を詳しく把握したい企業では、対応アプリとポリシーの粒度を確認したいところです。

外向け防御と社内セキュリティを分ける

守る利用者と通信方向を整理する

WAFやDDoS対策は、インターネットから自社Webサイトへ入る通信を守ります。SSEやZTNAは、社員や委託先がWeb、SaaS、社内アプリへ接続する通信を制御します。似た製品名が並んでも、目的は別です。

「誰が、どの端末から、どのアプリへ接続するか」を一覧にすると、必要な機能を判断しやすくなります。公開サイトの防御を理由に、全社員向けゼロトラスト製品まで同じベンダーへそろえる必要はありません。

端末・ID・データを一つのポリシーで考える

ゼロトラストでは、IDプロバイダーの認証だけでなく、端末状態、利用者の所属、接続先、扱うデータに応じて判断します。人事異動や退職に合わせた権限変更も、導入後の運用に含まれます。

クライアントソフトを導入できない端末、協力会社、工場のIoT機器、海外拠点など、標準構成から外れる利用者も洗い出します。例外を後から増やすより、PoCの段階で実際の通信を試しましょう。

全社移行を任せるSIerの選定基準

製品導入だけでなく現行調査を任せられるか

全社的なSASE移行では、VPN、プロキシ、ファイアウォール、拠点回線、ID、端末管理が関係します。ライセンスを販売できるだけでなく、現在の通信と業務を調べ、段階移行を設計できるSIerが必要です。

既存ポリシーの移行方法、PoCの対象、並行運用期間、切り戻し、利用者への案内まで提案範囲を確認します。海外拠点がある場合は、現地回線やサポート時間も見ておきましょう。

導入後の変更と問い合わせ体制を確認する

ゼロトラストは、導入時に完成する仕組みではありません。新しいSaaSや拠点の追加、組織変更、インシデントに合わせてポリシーを更新します。設定変更を社内で行うのか、SIerへ依頼するのかを決めます。

Cloudflare One、Zscaler、Netskopeの優劣を機能数だけで決めず、自社のデータ、ネットワーク、運用体制に合う製品を選びましょう。ほかの比較記事は、Cloudflareへの乗り換え・機能比較ガイドにまとめています。