相次ぐ個人情報漏えいに学ぶセキュリティ対策：50人以下の会社なら無料で始めるゼロトラスト

こんにちは！システムデザインワークスの山岸です。

前編では、2026年秋に相次いだタイムズカー・焼肉きんぐ・旭化成セラピューティクス・損保ジャパン・HIS子会社・アサヒグループHDの6件を整理し、共通点が「会員管理システムや社内ネットワーク、委託先やグループ会社のシステムという内側に到達されたこと」であること、そしてゼロトラストとは「社内だから安全」をやめてすべてのアクセスを毎回検証する考え方であることを見てきました。

ゼロトラストと聞くと、大企業が何億円もかけて取り組むものという印象をお持ちの方が多いのではないでしょうか。

先に結論を書きます。Cloudflare Zero Trust は50ユーザーまで無料で、IPアドレス制限やクライアント証明書といった追加の守りも、ほぼ費用をかけずに重ねられます。 社員50人以下の会社ほど、費用対効果は高くなります。後編では、料金の内訳、弊社の社内ポータルでの実装、既存の管理画面に Cloudflare Access を付ける5ステップと注意点、そして自社の「内側」を点検する5つの質問を紹介します。

なお、本記事は2026年10月8日時点の公開情報と公式料金ページに基づいています。

この記事はこんな方に向けて書いています

• 会員情報や顧客情報を扱うWebサービス・社内システムを運営している経営者、情報システム担当の方

• VPNや社内ネットワーク、管理画面のアクセス制限を「作った当時のまま」にしている方

• ゼロトラストという言葉は聞くが、自社の規模で現実的なのか分からない方

技術用語は本文で一言ずつ補足します。

相次ぐ個人情報漏えいに学ぶセキュリティ対策（前後編）

1. 前編：共通点は内側に入られたこと

2. 後編：50人以下の会社なら無料で始めるゼロトラスト（本記事）

Cloudflare Zero Trust の料金：50ユーザーまで無料、IP制限と証明書も追加費用なし

前編の最後に書いたとおり、ゼロトラストに必要なのは「IDの基盤」と「前段で検証するサービス」の2つです。後者は ZTNA（ゼロトラストネットワークアクセス）と呼ばれる製品分野で、VPNの代替として社内システムの手前に置く仕組みです。弊社が使っている Cloudflare Zero Trust の料金は、2026年10月8日時点の公式ページで次のとおりです。

無料プランは50ユーザーまで。51人目からは1ユーザーあたり月7ドルです。 社員30人の会社なら、社内システムすべてに SSO の前段認証を付けても月額ゼロです。SSO とは、Google Workspace などの1つのアカウントで複数のシステムにログインする仕組みのことです。

さらに「追加の守り」も、ほとんど費用がかかりません。何が無料で何が有料かを整理します。

クライアント証明書とは、社用端末だけに配る「鍵」のような電子証明書で、これを提示できない端末からの接続を拒否する仕組みです。 注意点が1つあります。Cloudflare では証明書を使う経路が2つあり、無料で使えるのは「SSL/TLS の Client Certificates と WAF ルールの組み合わせ」のほうです。Access ポリシー側の証明書条件は有料プランの機能なので、混同すると無料プランで再現できません。

もう1つ。IPアドレス制限は事務所に固定IPがあることが前提です。固定IPがない場合は、国による制限や端末の条件に置き換えて考えます。

弊社の社内ポータルでの実践：月額ゼロで4つの層

弊社は「まず自社で試してからお客様に提案する」スタイルなので、社内ポータル（作業日報の作成・管理をするアプリ）の構成を例に共有します。自社サイトと同じ Cloudflare Workers 上で動き、社員数名で使っています。

この構成で「何を信用しないか」を4つの層に分けています。

もう1つ、表には書いていない層があります。Cloudflare Access のログインは Google Workspace のアカウントで行うため、Workspace 側で有効にしている2段階認証（多要素認証、MFA）がそのまま効きます。多要素認証とは、パスワードに加えてスマートフォンの確認などもう1つの要素を求める認証方式のことです。 損保ジャパンの委託先が再発防止策に挙げた「管理者認証の多要素化」は、この構成では最初から入っていることになります。

JWT とは、認証サービスが発行する署名付きの本人証明データのことです。 層2の検証は、ライブラリを使えば数行です。

1const { payload } = await jwtVerify(token, getJwks(teamDomain), {
2  issuer: `https://${teamDomain}`,
3  audience: aud,
4})
Copy

検証に通らないリクエストは、全ルート共通のミドルウェアで止めます。

1const user = await resolveIdentity(c)
2if (!user) {
3  return c.text("アクセス権限がありません（Cloudflare Access 経由でアクセスしてください）。", 403)
4}
Copy

この4層で、Zero Trust にかかる費用は月額ゼロです。前編で見たアサヒの再発防止策にある「認証・権限管理の強化」「アカウント削除の自動化」「ネットワークの接続制限」を、社員数名の会社の規模に合わせて実装した形だと考えています。

次の一手：IPアドレス制限とクライアント証明書

現状の社内ポータルは、Cloudflare Access による SSO と JWT 検証までです。次に重ねる予定の2つは、どちらも追加費用がかかりません。

1. Access ポリシーに事務所の固定IPアドレスを「必須条件」として追加する。 正しい Google アカウントを持っていても、事務所の回線以外からは届かない状態になる

2. SSL/TLS の Client Certificates で社用端末に証明書を配り、WAF ルールで未提示の接続を遮断する。 アカウントが盗まれても、社用端末以外からは入れない

前編で触れたとおり、Qilin の初期侵入の多くは「盗まれたIDとパスワード」でした。SSO に IP アドレスと証明書の条件を重ねるのは、まさにこの入口をふさぐための層です。

ゼロトラストのデメリット・注意点

良いことばかり書いてきたので、導入前に知っておくべき注意点も挙げます。

• 固定IPアドレスがないと、IPアドレス制限は使えない。 国による制限や端末の条件（証明書など）に置き換えて考える

• 認証サービス側に障害が起きると、全システムに入れなくなる。 前段に1つの入口を置く以上、その入口の可用性に依存する。緊急時の代替手順を決めておく

• ログイン画面が1枚増える。 社員には最初に理由を説明しておかないと「面倒になった」で終わる

• 特定ベンダーへの依存。 設定はダッシュボード上にあるので、どのアプリにどのポリシーを付けたかは手元にも記録しておく

正直に書いておくと、この構成でも「絶対に安全」ではありません。 Cloudflare 側や利用しているライブラリに脆弱性が見つかる可能性はありますし、Google アカウントの乗っ取りを完全に防ぐことはできません。だからこそ、1つの層が破られても次の層で止まるように重ね、更新と点検を続けています。

既存の管理画面に Cloudflare Access を付ける5ステップ

弊社の社内ポータルのように作り直す必要はありません。今ある管理画面や社内システムの手前に Access を置くだけなら、次の5ステップです。アプリ側の改修は不要で、元のログイン画面は残したままで構いません。

1. 対象のホスト名を Cloudflare 経由にする。 ドメインの DNS を Cloudflare に置き、管理画面のホスト名をプロキシ経由（オレンジ雲）にする。社内や他社のサーバーで公開ポートを開けたくない場合は Cloudflare Tunnel を使えば、ポートを閉じたまま接続できる

2. Zero Trust ダッシュボードで Access アプリケーション（Self-hosted）を作る。 保護したいホスト名を登録する

3. ID プロバイダを連携する。 Google Workspace や Microsoft Entra ID。どちらもなければメールのワンタイムPINで始められる

4. ポリシーで許可範囲を決める。 「自社ドメインのメールアドレス」を基本にし、管理機能は特定の人だけに絞った別ポリシーにする。ここが最小権限の設定

5. 必要に応じて条件を重ねる。 事務所の固定IPアドレスを Require 条件に足す、クライアント証明書を配る。どちらも追加費用はかからない

ここまでで「URLを知っていれば誰でもログイン画面まで届く」状態はなくなります。アプリ側で JWT を検証する多層化は、その次の段階で構いません。

自社の社内システムを点検する5つの質問

タイムズカー連載の第3回では公開Webサービスを点検する6つの質問をまとめました。今回は「内側」に特化した5つの質問です。開発ベンダーや委託先にそのまま聞いてみてください。

質問1と2が「社内だから安全」を疑う点検、3から5が最小権限の点検です。

点検して「危ない」兆候が出たら

1. まず質問4と5のアカウント棚卸しから。 今日から手を付けられ、費用もかかりません

2. 次に質問2の前段認証。 Cloudflare Access のような仕組みで、既存の管理画面の前に SSO を置けます。50ユーザーまで無料です

3. 質問1のVPN依存は時間をかけて。 一度に廃止するのではなく、システムごとに前段認証へ移していきます

4. 質問3は契約の見直しを伴います。 委託先のアクセス経路と権限を文書で確認し、個別アカウントへ切り替えます

まとめ：前後編の学び

• 2026年秋の6件に共通するのは、攻撃者が「内側」に到達したことです。侵入の流れを詳しく公表したアサヒは、VPN廃止とゼロトラスト移行を再発防止策に掲げました

• Qilin は日本を名指しし、国内被害の57%は中小企業です。もう他人事ではありません

• ゼロトラストとは「社内だから安全」をやめ、すべてのアクセスを毎回検証することです。VPNの廃止はその手段であって、目的ではありません

• Cloudflare Zero Trust は50ユーザーまで無料。 IPアドレス制限とクライアント証明書も追加費用なしで重ねられます。中小企業ほど費用対効果が高い投資です

• 弊社の社内ポータルは、SSO + JWT検証 + 迂回遮断 + 管理者の明示という4層を月額ゼロで運用しています。それでも「絶対に安全」とは言わず、層を重ねて点検を続けています

• 既存の管理画面は作り直さなくても、手前に Cloudflare Access を置く5ステップで始められます。固定IPの有無や認証サービスへの依存といった注意点も、導入前に押さえておきましょう

• 5つの質問で自社の「内側」を点検してください。まずはアカウントの棚卸しからです

相次ぐ個人情報漏えいに学ぶセキュリティ対策（前後編）

1. 前編：共通点は内側に入られたこと

2. 後編：50人以下の会社なら無料で始めるゼロトラスト（本記事）

ご相談お待ちしております。

「5つの質問、半分も即答できなかった」という方も多いのではないでしょうか。それは珍しいことではなく、多くの会社に共通する状態です。幸い、ゼロトラストは大きな投資をしなくても、今日から小さく始められます。

栃木県でシステム開発・アプリ開発・Web サイト制作の会社をお探しの方、社内システムや管理画面のアクセス制御の見直し、ゼロトラストを小さく始める導入、委託先を含めたアクセス経路の棚卸しをご検討中の方へ。 システムデザインワークスでは、自社の社内ポータルで実践した構成をもとに、現状の棚卸しから設計、導入、運用まで一貫してサポートしております。最初の一歩は、「社内システムの一覧と、それぞれに誰がどこから入れるか」を1枚にまとめるところからで構いません。お気軽にお問い合わせフォームよりご連絡ください。

参考（一次情報・2026年10月8日時点）:

• Cloudflare Zero Trust 料金ページ / Access ポリシーの条件一覧 / mTLS（クライアント証明書）の対応プラン

• アサヒグループホールディングス「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日）

• TechTarget ジャパン「アサヒグループも襲った Qilin の手口とは 2025年国内被害22件」（2026年4月21日、Cisco Talos 調査）

• NIST SP 800-207 "Zero Trust Architecture"（2020年8月）