イベント報告 2025/12/01

脱VDI・脱VPNを実現する ― 情シス1,000名への調査から見る現実解 | Security Days Spring 2025セッション②

先日開催された「Security Days Fall 2025」において、株式会社ソリトンシステムズプロダクト推進部の光井一輝が行った講演「脱VDI・脱VPNを実現する ― 情シス1,000名へのアンケート調査から見る現実解 ―」と題した講演をおこないました。

株式会社ソリトンシステムズ
ITセキュリティ事業部
プロダクト推進部
光井一輝

多くの企業が、リモートアクセスの標準的な手段としてVPN（Virtual Private Network）やVDI（Virtual Desktop Infrastructure）を利用しています。しかし、VPNは利便性の裏で深刻なセキュリティリスクを抱え、VDIも堅牢なセキュリティを備える一方で、高コストや運用負荷といった根深い課題を抱えています。

こうした課題に対し、多くの情報システム担当者が「セキュリティ」と「コスト・運用性」の狭間で最適解を模索しています。この記事では、講演で提示された“バランスの取れた現実解”として、「データレスクライアント」ソリューションに焦点を当てます。概念の整理から導入事例までを丁寧に取り上げ、これからのリモートアクセス環境を選定する際の指針を解説します。

期間限定リバイバル配信のお知らせ

この記事でご紹介している内容は、オンデマンド配信にてご視聴いただけます。現在、事前のお申し込みを受け付けています。ぜひこの機会にお申し込みください。

クリックしてイベントページへ

1.なぜ今、「脱VPN」が急務なのか？～潜む2大セキュリティリスク～

VPNは依然として多くの企業で利用されていますが、なぜ今「脱VPN」がセキュリティ戦略の重要テーマとして注目されているのでしょうか。その背景には、もはや見過ごせない2つの深刻なセキュリティリスクがあるためです。

リスク1：不正侵入の温床となる脆弱性

VPNが抱える最大の課題は、ランサムウェアをはじめとしたサイバー攻撃の主要な侵入経路となっている点です。講演で引用された警察庁の調査でも、ランサムウェア侵入経路の62％がVPN経由と報告されています。これは、VPNが単なる“接続手段”を超えて、企業のサイバーレジリエンスにおける「単一障害点」となり得ることを示しています。

問題は、VPNの脆弱性が“パッチ適用だけで完全に解決できるわけではない”という点です。ゼロデイ攻撃などでID・パスワードが窃取されてしまうと、パッチ適用後であっても正規ユーザーになりすまし、侵入されるリスクは残ります。これは、従来の「境界防御」モデルの限界を示すものであり、対策をデバイス中心のリアクティブな手法から、ID・認証を基軸としたプロアクティブな防御へと転換する必要性を示唆しています。

このリスクは決して対岸の火事ではありません。ソリトンシステムズが1,032名の情報システム担当者に実施したアンケートでは、以下の実態が明らかになりました。

クリックして画像を新しいタブで表示

過去1年間で約22％の企業が侵入被害を経験
その約12％は業務に影響が出る深刻な被害

この発生率が数年間続くと仮定した場合、累積してみると “無事でいられる企業のほうが少なくなる” 計算です。こうした状況を踏まえると、IDとパスワードだけに依存しない多要素認証（MFA）の導入は、侵入対策の必須要件といえます。

リスク2：管理不能なデータの拡散と情報漏洩

もう一つの大きな課題が「データ保護」です。VPNを利用すると、社内サーバー上の業務データへ社外からアクセスできる一方で、データが持ち出しPCや管理の行き届かないサプライチェーン先の端末へ分散してしまう可能性があります。

アンケート調査でも、情報システム担当者が脅威として挙げる項目の上位には、「ランサムウェア」に続き、「悪意のない紛失や誤操作」「内部不正」など、データ保護に関わる項目が並びました。多くの担当者が、この領域に強い危機感を抱いていることが分かります。

クリックして画像を新しいタブで表示

このように、VPNは「不正侵入」と「情報漏洩」という二つの深刻な課題を抱えています。そして、後者の情報漏洩対策として注目を集めたVDIにも、別の形で課題が指摘されています。。

2. VDIの理想と現実～なぜ「脱VDI」の動きが加速するのか～

VDIは、サーバー側で仮想デスクトップを実行し、利用者の端末には画面情報のみを転送する方式です。手元の端末にデータを残さないため、情報漏洩対策としてコロナ禍以降に急速に普及しました。しかし最近では、そのVDIにも見直しの機運が高まっています。

「脱VDI」を加速させるコストと運用の課題

「脱VDI」が進む直接の要因として、海外メーカーの価格改定に伴うライセンスコストの増加が挙げられます。しかし講演では、より本質的な問題として“高いコストに見合う価値が得られているのか”という情報システム部門の根源的な疑問があると指摘されました。具体的な課題は次のとおりです。

クリックして画像を新しいタブで表示

• 運用負荷の高さ

多数のサーバーで構成される実行環境の維持・管理には、相応の工数が必要です。また、仮想化に精通したエンジニアが減少していることから、人材確保が難しくなっている点も課題となっています。

• ユーザビリティの問題

サーバーリソースを全ユーザーで共有する仕組みのため、レスポンスが低下しやすい傾向があります。特に、Web会議システムとの親和性に課題があり、音声・映像品質が安定しないケースも少なくありません。

ソリトンシステムズの調査では、情報システム部門が抱える最大の課題は例年「リソース不足」であることが分かっています。この慢性的なリソース不足の状況下で、専門性が高く運用負荷の大きいVDIを維持し続けることは、多くの企業にとって難しくなりつつあります。

また、情報システム担当者が重視する役割として、次の4点が挙げられました。

セキュリティ向上
システムの維持
利用者の使い勝手
コスト抑制

こうした観点から見ると、VDIの高いTCO（総保有コスト）と、リソース不足に悩む情報システム部門の現実との間には「戦略的ミスマッチ」が生じています。VDIはセキュリティや管理性に優れる一方で、システム維持に必要なリソース、レスポンスを含むユーザビリティ、コスト抑制といった要素とのトレードオフが避けられないケースもあります。

クリックして画像を新しいタブで表示

VDIに代わり、これら4要件を最適化する“現実解”とは何でしょうか。

3. 第3の選択肢「データレスクライアント」という現実解

VPNが抱えるセキュリティリスク、そしてVDIが直面するコストと運用の課題。前章で整理した「セキュリティ」「維持運用」「使い勝手」「コスト」という4つの要件を満たす解決策として、近年注目されているのが「データレスクライアント」というアプローチです。

クリックして画像を新しいタブで表示

これは新しい概念ではなく、総務省の「テレワークセキュリティガイドライン」で紹介されている「セキュアブラウザ」や「セキュアコンテナ」に代表される技術を指します。具体的には、Web利用に特化したセキュアブラウザ方式と、Officeアプリなど幅広い業務に対応するセキュアコンテナ方式に大別されます。

クリックして画像を新しいタブで表示

VDIとの最大の違いとメリット

VDIがサーバー側で処理を行う“サーバー集約型”の方式であるのに対し、データレスクライアントは“クライアント端末側で動作する”点が大きな違いです。

仕組みとしては、端末内にソフトウェア技術で隔離された作業領域（コンテナ）を生成し、その内側で業務を行います。作業終了後は、コンテナ内のデータやキャッシュが自動的に削除されます。こうしたシンプルなアーキテクチャにより、次のようなメリットが得られます。

導入・運用が容易
VDIのような大規模サーバー環境が不要なため、導入期間を短縮でき、運用負荷も軽減します。
コスト抑制
サーバー投資や高額なライセンスが不要となり、TCOを抑えることができます。
高い生産性
手元の端末（ファットクライアント）の処理性能を活かせるため、レスポンスが良く、利用者の生産性を維持できます。

この方式は、その信頼性から、自治体のセキュリティガイドライン改定において、マイナンバー関連事務にアクセスする手段としてVDI／DaaSと並び正式に認められています。コストやリソース面でVDIの導入が難しい組織にとって、現実的な選択肢となり得る方式といえます。

データレスクライアントは、VDIの「データを残さない」という特長を引き継ぎながら、コストや運用負荷、ユーザビリティの課題を解消し得る選択肢です。ただし、この方式だけではVPNにおける“不正侵入対策”の課題は残ります。そこまで含めて一体的に提供している点が、次に紹介するソリトンシステムズのアプローチの特徴です。

4. 事例に学ぶ具体的なアプローチ

ソリトンシステムズは、データレスクライアントの考え方を具体化するソリューションとして、次の2つのラインナップを提供しています。

クリックして画像を新しいタブで表示

Soliton SecureBrowser
Web利用に特化し、リーズナブル（月額300円／ユーザー）で、Chromebookを含むマルチデバイスに対応。
Soliton SecureWorkspace
Windows端末向けに、Officeアプリの編集やファイルサーバーへのアクセスなど、幅広い業務に対応するコンテナ方式。

これらの製品は、VPNの代替となる専用ゲートウェイを備え、「不正侵入対策」と「データ保護」を一体的に実現できる点が特長です。これにより、VPNが抱えていた2つの主要リスクにまとめて対応できるアプローチアプローチが可能になります。

導入事例に見る具体的な成果

事例1：第一生命保険様

課題
画面転送型の仮想ブラウザを利用していたものの、多数のサーバー運用・保守にかかる工数やコスト、さらにユーザー利便性の低さが課題となっていました。
解決策
Soliton SecureBrowser へ移行。
効果
サーバー運用が不要となり、工数とコストを削減。レスポンスも向上し、ユーザーの生産性向上につながりました。担当者からは
「Windowsサーバーの運用・保守が不要になったことが大きい」
「社員からの問い合わせやクレームがほとんどなかった」
といった声が寄せられています。
まとめ
本事例は、インターネット分離という戦術的要件が、サーバー運用という新たな負荷を生んでいた典型例であり、データレスクライアント方式が、その負担をどのように軽減できるかが分かります。

事例2：教育委員会様

クリックして画像を新しいタブで表示

課題
学習系システムと、機微な情報を扱う校務系システムを使い分ける必要があり、教職員の負担が大きい状況でした。
解決策
Soliton SecureWorkspace を導入し、1台の端末で安全な業務分離を実現。
効果
端末の使い分けが不要となり、教職員の負担を軽減。自宅からでも安全に校務作業を行えるようになり、柔軟な働き方を支援しました。
まとめ
物理的な分離が前提となっていた環境を、論理的な分離で代替し、セキュリティと生産性を両立した好例といえます。

事例3：スクール運営事業者様

クリックして画像を新しいタブで表示

課題
100以上の教室から中央の管理システムへアクセスする際、サプライチェーン全体のセキュリティガバナンスが課題となっていました。
解決策
Soliton SecureWorkspace を導入。
効果
各教室の端末にデータを残さず、認証を強化することで情報漏洩リスクを低減。管理側と利用側の双方が安心して利用できる環境を構築しました。
まとめ
管理が行き届かない端末からのアクセス制御は、多くの組織が抱える共通課題です。データレスクライアント方式と強固な認証を組み合わせるアプローチは、ゼロトラストの考え方を実践する現実的な手段といえます。

5. これからのリモートアクセス環境選定するにあたって

本講演を踏まえ、これからのリモートアクセス環境を検討するうえで押さえておきたい重要な視点を、以下のとおり整理します。

脱VPNの必要
ランサムウェアをはじめとした脅威に対しては、「認証強化」と「データ保護」の両面から対策を講じることが不可欠です。
VDIの適切な評価
VDIはデータ保護に有効な手段である一方、コスト・運用負荷・ユーザビリティが自社のリソース状況に見合うか、投資対効果（ROI）を踏まえて検討する必要があります。
データレスクライアントという選択肢
VPNとVDIが抱える課題に対し、セキュリティ・運用性・生産性のバランスが取れた“現実的な選択肢”として位置づけられます。
ソリトンシステムズ社の価値
データ保護だけでなく、認証強化まで含む安全なリモートアクセス環境をワンストップで提供できる点に強みがあります。

光井

自社に最適な環境を見極めるには、実際の動作や運用イメージを確認することが重要です。講演でご紹介したソリューションでは無償トライアル環境も用意しています。詳細は当社ウェブサイトにてご確認いただけます。