# 相次ぐ個人情報漏えいに学ぶセキュリティ対策：50人以下の会社なら無料で始めるゼロトラスト
- 公開日: 2026-10-08
- 更新日: 2026-10-08
- URL: https://systemdesignworks.co.jp/news/%E7%9B%B8%E6%AC%A1%E3%81%90%E5%80%8B%E4%BA%BA%E6%83%85%E5%A0%B1%E6%BC%8F%E3%81%88%E3%81%84%E3%81%AB%E5%AD%A6%E3%81%B6%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E5%AF%BE%E7%AD%96%EF%BC%9A50%E4%BA%BA%E4%BB%A5%E4%B8%8B%E3%81%AE%E4%BC%9A%E7%A4%BE%E3%81%AA%E3%82%89%E7%84%A1%E6%96%99%E3%81%A7%E5%A7%8B%E3%82%81%E3%82%8B%E3%82%BC%E3%83%AD%E3%83%88%E3%83%A9%E3%82%B9%E3%83%88
- 発行: 株式会社システムデザインワークス
> 中小企業のセキュリティ対策として、ゼロトラストを無料で始める方法をまとめた後編です。Cloudflare Zero Trust は50ユーザーまで無料、51人目から1ユーザー月7ドルで、IPアドレス制限やクライアント証明書も追加費用なしで重ねられます。弊社の社内ポータルが SSO + JWT検証 + 迂回遮断 + 管理者の明示という4層を月額ゼロで運用している構成、既存の管理画面に Cloudflare Access を付ける5ステップ、デメリットと注意点、そして社内システムを点検する5つの質問を解説します。
こんにちは！システムデザインワークスの山岸です。
[前編](/news/相次ぐ個人情報漏えいに学ぶセキュリティ対策：共通点は内側に入られたこと)では、2026年秋に相次いだタイムズカー・焼肉きんぐ・旭化成セラピューティクス・損保ジャパン・HIS子会社・アサヒグループHDの6件を整理し、共通点が「会員管理システムや社内ネットワーク、委託先やグループ会社のシステムという内側に到達されたこと」であること、そしてゼロトラストとは「社内だから安全」をやめてすべてのアクセスを毎回検証する考え方であることを見てきました。
ゼロトラストと聞くと、大企業が何億円もかけて取り組むものという印象をお持ちの方が多いのではないでしょうか。
先に結論を書きます。**Cloudflare Zero Trust は50ユーザーまで無料で、IPアドレス制限やクライアント証明書といった追加の守りも、ほぼ費用をかけずに重ねられます。** 社員50人以下の会社ほど、費用対効果は高くなります。後編では、料金の内訳、弊社の社内ポータルでの実装、既存の管理画面に Cloudflare Access を付ける5ステップと注意点、そして自社の「内側」を点検する5つの質問を紹介します。
なお、本記事は2026年10月8日時点の公開情報と公式料金ページに基づいています。
---
**この記事はこんな方に向けて書いています**
- 会員情報や顧客情報を扱うWebサービス・社内システムを運営している経営者、情報システム担当の方
- VPNや社内ネットワーク、管理画面のアクセス制限を「作った当時のまま」にしている方
- ゼロトラストという言葉は聞くが、自社の規模で現実的なのか分からない方
技術用語は本文で一言ずつ補足します。
**相次ぐ個人情報漏えいに学ぶセキュリティ対策（前後編）**
1. [前編：共通点は内側に入られたこと](/news/相次ぐ個人情報漏えいに学ぶセキュリティ対策：共通点は内側に入られたこと)
2. **後編：50人以下の会社なら無料で始めるゼロトラスト（本記事）**
---
## Cloudflare Zero Trust の料金：50ユーザーまで無料、IP制限と証明書も追加費用なし
前編の最後に書いたとおり、ゼロトラストに必要なのは「IDの基盤」と「前段で検証するサービス」の2つです。後者は ZTNA（ゼロトラストネットワークアクセス）と呼ばれる製品分野で、VPNの代替として社内システムの手前に置く仕組みです。弊社が使っている Cloudflare Zero Trust の料金は、2026年10月8日時点の公式ページで次のとおりです。
| プラン | 料金 | 公式ページの位置づけ |
| --- | --- | --- |
| Free | 0ドル | 50ユーザー未満のチーム、または概念実証向け |
| Pay-as-you-go | 1ユーザーあたり月額7ドル | 50ユーザーを超えるチーム向け |
| Contract | 年間契約・個別見積 | 大規模な全社展開向け |
**無料プランは50ユーザーまで。51人目からは1ユーザーあたり月7ドルです。** 社員30人の会社なら、社内システムすべてに SSO の前段認証を付けても月額ゼロです。SSO とは、Google Workspace などの1つのアカウントで複数のシステムにログインする仕組みのことです。
さらに「追加の守り」も、ほとんど費用がかかりません。何が無料で何が有料かを整理します。
| やりたいこと | 使う機能 | 費用 |
| --- | --- | --- |
| Google / Microsoft アカウントで前段認証する | Cloudflare Access + 各IDプロバイダ | 無料（50ユーザーまで） |
| 事務所の固定IPアドレスからだけ許可する | Access ポリシーの「IP ranges」条件 | 無料 |
| 社用端末に配った証明書がないと接続させない | SSL/TLS の Client Certificates（Cloudflare 管理CA）+ WAF ルール | 無料（全プラン。1ドメインあたり100枚まで） |
| Access ポリシー側で証明書の有無を条件にする | Access の「Valid Certificate」「Common Name」条件 | Enterprise または従量課金プランのみ |
| 自社の認証局（CA）を持ち込む | Bring your own CA | Enterprise のみ |
**クライアント証明書とは、社用端末だけに配る「鍵」のような電子証明書で、これを提示できない端末からの接続を拒否する仕組みです。** 注意点が1つあります。Cloudflare では証明書を使う経路が2つあり、無料で使えるのは「SSL/TLS の Client Certificates と WAF ルールの組み合わせ」のほうです。Access ポリシー側の証明書条件は有料プランの機能なので、混同すると無料プランで再現できません。
もう1つ。IPアドレス制限は事務所に固定IPがあることが前提です。固定IPがない場合は、国による制限や端末の条件に置き換えて考えます。
## 弊社の社内ポータルでの実践：月額ゼロで4つの層
弊社は「まず自社で試してからお客様に提案する」スタイルなので、社内ポータル（作業日報の作成・管理をするアプリ）の構成を例に共有します。[自社サイトと同じ Cloudflare Workers](/news/vercel-to-cloudflare-workers-migration) 上で動き、社員数名で使っています。
```mermaid
flowchart LR
U["社員のブラウザ"] --> A["Cloudflare Access
Google Workspace でログイン"]
A -->|"署名付きJWTを付与"| W["Worker（アプリ）
JWT を公開鍵で検証"]
W -->|"検証OK"| D["データベース"]
W -->|"検証NG"| X["403 拒否"]
N["workers.dev の直アクセス"] -.->|"無効化"| W
style A fill:#e8f0fe,stroke:#1a56db
style X fill:#fde2e2,stroke:#c00
```
この構成で「何を信用しないか」を4つの層に分けています。
| 層 | 信用しないもの | 実装 |
| --- | --- | --- |
| 1 | アプリ独自のパスワード | アプリにログイン機能を持たない。認証は Cloudflare Access（Google Workspace の SSO）が前段で行う。パスワードのデータベースが存在しないので、漏れるパスワードがない。退職者は Workspace のアカウント停止で同時に締め出せる |
| 2 | Access が付けるヘッダ | Access は認証済みのメールアドレスをヘッダに付けてくれるが、ヘッダは偽装され得る。アプリ側で署名付き JWT を公開鍵（JWKS）で検証し、発行者・対象アプリ・有効期限が合わなければ 403 で拒否する |
| 3 | 迂回経路 | Workers 標準の workers.dev ドメインからの直アクセスを無効化。Access を通らない経路からはアプリに届かない |
| 4 | 「全員管理者」になる設定ミス | 管理者は環境変数に明示的に列挙する。未設定なら管理者ゼロ（fail-closed）。「設定し忘れたら全員が管理者」という事故が起きない |
もう1つ、表には書いていない層があります。Cloudflare Access のログインは Google Workspace のアカウントで行うため、Workspace 側で有効にしている2段階認証（多要素認証、MFA）がそのまま効きます。**多要素認証とは、パスワードに加えてスマートフォンの確認などもう1つの要素を求める認証方式のことです。** 損保ジャパンの委託先が再発防止策に挙げた「管理者認証の多要素化」は、この構成では最初から入っていることになります。
**JWT とは、認証サービスが発行する署名付きの本人証明データのことです。** 層2の検証は、ライブラリを使えば数行です。
```typescript
const { payload } = await jwtVerify(token, getJwks(teamDomain), {
issuer: `https://${teamDomain}`,
audience: aud,
})
```
検証に通らないリクエストは、全ルート共通のミドルウェアで止めます。
```typescript
const user = await resolveIdentity(c)
if (!user) {
return c.text("アクセス権限がありません（Cloudflare Access 経由でアクセスしてください）。", 403)
}
```
この4層で、Zero Trust にかかる費用は月額ゼロです。前編で見たアサヒの再発防止策にある「認証・権限管理の強化」「アカウント削除の自動化」「ネットワークの接続制限」を、社員数名の会社の規模に合わせて実装した形だと考えています。
### 次の一手：IPアドレス制限とクライアント証明書
現状の社内ポータルは、Cloudflare Access による SSO と JWT 検証までです。次に重ねる予定の2つは、どちらも追加費用がかかりません。
1. **Access ポリシーに事務所の固定IPアドレスを「必須条件」として追加する。** 正しい Google アカウントを持っていても、事務所の回線以外からは届かない状態になる
2. **SSL/TLS の Client Certificates で社用端末に証明書を配り、WAF ルールで未提示の接続を遮断する。** アカウントが盗まれても、社用端末以外からは入れない
前編で触れたとおり、Qilin の初期侵入の多くは「盗まれたIDとパスワード」でした。SSO に IP アドレスと証明書の条件を重ねるのは、まさにこの入口をふさぐための層です。
### ゼロトラストのデメリット・注意点
良いことばかり書いてきたので、導入前に知っておくべき注意点も挙げます。
- **固定IPアドレスがないと、IPアドレス制限は使えない。** 国による制限や端末の条件（証明書など）に置き換えて考える
- **認証サービス側に障害が起きると、全システムに入れなくなる。** 前段に1つの入口を置く以上、その入口の可用性に依存する。緊急時の代替手順を決めておく
- **ログイン画面が1枚増える。** 社員には最初に理由を説明しておかないと「面倒になった」で終わる
- **特定ベンダーへの依存。** 設定はダッシュボード上にあるので、どのアプリにどのポリシーを付けたかは手元にも記録しておく
正直に書いておくと、**この構成でも「絶対に安全」ではありません。** Cloudflare 側や利用しているライブラリに脆弱性が見つかる可能性はありますし、Google アカウントの乗っ取りを完全に防ぐことはできません。だからこそ、1つの層が破られても次の層で止まるように重ね、更新と点検を続けています。
## 既存の管理画面に Cloudflare Access を付ける5ステップ
弊社の社内ポータルのように作り直す必要はありません。今ある管理画面や社内システムの手前に Access を置くだけなら、次の5ステップです。アプリ側の改修は不要で、元のログイン画面は残したままで構いません。
1. **対象のホスト名を Cloudflare 経由にする。** ドメインの DNS を Cloudflare に置き、管理画面のホスト名をプロキシ経由（オレンジ雲）にする。社内や他社のサーバーで公開ポートを開けたくない場合は Cloudflare Tunnel を使えば、ポートを閉じたまま接続できる
2. **Zero Trust ダッシュボードで Access アプリケーション（Self-hosted）を作る。** 保護したいホスト名を登録する
3. **ID プロバイダを連携する。** Google Workspace や Microsoft Entra ID。どちらもなければメールのワンタイムPINで始められる
4. **ポリシーで許可範囲を決める。** 「自社ドメインのメールアドレス」を基本にし、管理機能は特定の人だけに絞った別ポリシーにする。ここが最小権限の設定
5. **必要に応じて条件を重ねる。** 事務所の固定IPアドレスを Require 条件に足す、クライアント証明書を配る。どちらも追加費用はかからない
ここまでで「URLを知っていれば誰でもログイン画面まで届く」状態はなくなります。アプリ側で JWT を検証する多層化は、その次の段階で構いません。
## 自社の社内システムを点検する5つの質問
[タイムズカー連載の第3回](/news/タイムズカー漏えいに学ぶ：自社システムを点検する6つの質問)では公開Webサービスを点検する6つの質問をまとめました。今回は「内側」に特化した5つの質問です。開発ベンダーや委託先にそのまま聞いてみてください。
| # | 質問 | 「危ない」兆候 |
| --- | --- | --- |
| 1 | VPNにつなげば、社内のすべてのシステムに届きますか？ | VPN1本で全部に届く。アサヒの再発防止策がVPN全面廃止だった理由がここにある |
| 2 | 管理画面や会員管理システムは、URLを知っていれば誰でもログイン画面まで届きますか？ | パスワードだけが最後の砦。前段の検証がない。損保ジャパンの委託先の件は、FAQシステムの管理サイトへの不正ログインが起点だった |
| 3 | 開発会社や運営委託先は、どの経路で、誰のアカウントで、どのデータに触れますか？ | 分からない。共有アカウントや固定パスワードで接続している |
| 4 | 退職者や契約終了した委託先のアカウントは、何日以内に消えますか？ | 手作業で、残っているものがある |
| 5 | 管理者は誰か、一覧を書面で出せますか？ その権限は最小ですか？ | 全員が管理者。設定の初期値で昇格している |
質問1と2が「社内だから安全」を疑う点検、3から5が最小権限の点検です。
### 点検して「危ない」兆候が出たら
1. **まず質問4と5のアカウント棚卸しから。** 今日から手を付けられ、費用もかかりません
2. **次に質問2の前段認証。** Cloudflare Access のような仕組みで、既存の管理画面の前に SSO を置けます。50ユーザーまで無料です
3. **質問1のVPN依存は時間をかけて。** 一度に廃止するのではなく、システムごとに前段認証へ移していきます
4. **質問3は契約の見直しを伴います。** 委託先のアクセス経路と権限を文書で確認し、個別アカウントへ切り替えます
## まとめ：前後編の学び
- 2026年秋の6件に共通するのは、攻撃者が「内側」に到達したことです。侵入の流れを詳しく公表したアサヒは、VPN廃止とゼロトラスト移行を再発防止策に掲げました
- Qilin は日本を名指しし、国内被害の57%は中小企業です。**もう他人事ではありません**
- **ゼロトラストとは「社内だから安全」をやめ、すべてのアクセスを毎回検証すること**です。VPNの廃止はその手段であって、目的ではありません
- **Cloudflare Zero Trust は50ユーザーまで無料。** IPアドレス制限とクライアント証明書も追加費用なしで重ねられます。中小企業ほど費用対効果が高い投資です
- 弊社の社内ポータルは、SSO + JWT検証 + 迂回遮断 + 管理者の明示という4層を月額ゼロで運用しています。それでも「絶対に安全」とは言わず、層を重ねて点検を続けています
- 既存の管理画面は作り直さなくても、手前に Cloudflare Access を置く5ステップで始められます。固定IPの有無や認証サービスへの依存といった注意点も、導入前に押さえておきましょう
- 5つの質問で自社の「内側」を点検してください。まずはアカウントの棚卸しからです
## よくある質問
**Q. 社員10人の会社でも、Cloudflare Zero Trust を使う意味はありますか？**
A. あります。むしろ小さい会社ほど向いています。50ユーザーまで無料なので費用はかからず、Google Workspace や Microsoft 365 のアカウントをそのまま使えます。管理画面や社内システムの前に置くだけで、「URLを知っていれば誰でもログイン画面まで届く」状態をなくせます。弊社も社員数名で月額ゼロで運用しています。
**Q. Google Workspace や Microsoft 365 を使っていないと導入できませんか？**
A. 導入できます。Cloudflare Access はメールアドレスに届くワンタイムPINでのログインにも対応しています。ただし、ID基盤があるほうが退職者のアカウント停止を1か所で済ませられるため、運用は楽になります。すでに Google Workspace などを使っているなら、それを認証の軸にするのが近道です。
**Q. SSO で前段認証していれば、IPアドレス制限やクライアント証明書は不要ですか？**
A. 不要ではありません。SSO は「誰か」を確認しますが、IDとパスワードが盗まれれば攻撃者も「正しい誰か」として通ってしまいます。IPアドレス制限は「どこから」、クライアント証明書は「どの端末で」を確認する層で、盗まれた認証情報だけでは入れない状態を作ります。Qilin の初期侵入の多くが盗まれた認証情報だったことを考えると、SSO に重ねる価値は大きいです。どちらも Cloudflare では追加費用なしで使えます。
**Q. 既存の管理画面を作り直さなくても、前段認証は付けられますか？**
A. 付けられます。Cloudflare Access は既存のWebアプリの手前に置く仕組みなので、アプリ側のログイン機能を残したまま、まず「Access を通らないと管理画面に届かない」状態にできます。弊社の社内ポータルのように、アプリ側で JWT を検証して多層化するのは次の段階で構いません。
---
**相次ぐ個人情報漏えいに学ぶセキュリティ対策（前後編）**
1. [前編：共通点は内側に入られたこと](/news/相次ぐ個人情報漏えいに学ぶセキュリティ対策：共通点は内側に入られたこと)
2. **後編：50人以下の会社なら無料で始めるゼロトラスト（本記事）**
---
## ご相談お待ちしております。
「5つの質問、半分も即答できなかった」という方も多いのではないでしょうか。それは珍しいことではなく、多くの会社に共通する状態です。幸い、ゼロトラストは大きな投資をしなくても、今日から小さく始められます。
**栃木県でシステム開発・アプリ開発・Web サイト制作の会社をお探しの方、社内システムや管理画面のアクセス制御の見直し、ゼロトラストを小さく始める導入、委託先を含めたアクセス経路の棚卸しをご検討中の方へ。** システムデザインワークスでは、自社の社内ポータルで実践した構成をもとに、現状の棚卸しから設計、導入、運用まで一貫してサポートしております。最初の一歩は、「社内システムの一覧と、それぞれに誰がどこから入れるか」を1枚にまとめるところからで構いません。お気軽にお問い合わせフォームよりご連絡ください。
---
参考（一次情報・2026年10月8日時点）:
- [Cloudflare Zero Trust 料金ページ](https://www.cloudflare.com/plans/zero-trust-services/) / [Access ポリシーの条件一覧](https://developers.cloudflare.com/cloudflare-one/access-controls/policies/) / [mTLS（クライアント証明書）の対応プラン](https://developers.cloudflare.com/api-shield/security/mtls/)
- [アサヒグループホールディングス「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日）](https://asahigroup-holdings-ir-umb.azurewebsites.net/media/ncujrqpv/20260218_j.pdf)
- [TechTarget ジャパン「アサヒグループも襲った Qilin の手口とは 2025年国内被害22件」（2026年4月21日、Cisco Talos 調査）](https://techtarget.itmedia.co.jp/tt/news/2604/21/news01.html)
- [NIST SP 800-207 "Zero Trust Architecture"（2020年8月）](https://csrc.nist.gov/pubs/sp/800/207/final)