VPN廃止後の社内アクセス設計：ZTNAへの移行コスト試算
結論: 従業員100〜300名規模のZTNA移行は、ライセンス費だけで見ると月額100万円台から（上限は製品・規模により要見積もり）の幅がある。SIer構築費（出典未確認の目安値。個別見積もりを要する）を含めた3年TCOで比較しないと稟議が通らない。費用より先に「どの製品を選ぶか」の選定ロジックと、移行で詰まる落とし穴を把握しておくことが、コスト試算の精度を上げる。
経営層から「FortiGateのEOLが来る。今期中にVPNを廃止してゼロトラストに移行せよ」と言われたとき、情シス担当が最初に詰まるのは技術の選定ではなく費用の根拠です。
「ZTNAって聞いたことはあるけど、実際いくらかかるのか数字が出てこない。稟議書に書ける根拠が欲しい」――この記事はそのニーズに直接答えます。
まず製品別のライセンス費用（公式確認済み・要問合せ別）を示す。
なぜ今VPNからZTNAへ移行するのか
「FortiGateが使えなくなる」という話が各社で出始めたのは、FortiOS 7.6.3以降のSSL VPNトンネルモード完全廃止のアナウンスが起点です（情シス365・FortiGate SSL VPN廃止対応ガイドより）。EOL対応で新しいFortiGateに乗り換えればよいという考え方も成り立ちますが、そこに重なるのがCVEの連続です。
FortiGateのSSL VPNには以下の重大脆弱性が報告されています（情シス365・同ガイドより）。
| CVE番号 | CVSSスコア | 内容 |
|---|---|---|
| CVE-2022-42475 | 9.8 | ヒープベースのバッファオーバーフロー |
| CVE-2023-27997 | 9.8 | ヒープベースのバッファオーバーフロー（認証不要RCE） |
| CVE-2024-21762 | 9.6 | アウトオブバウンズライト（RCEの可能性） |
CVSSスコア9台が3件続いているという事実は、「パッチを当て続ければいい」という運用判断に経営層が首を縦に振らなくなった理由を説明します。VPN廃止の検討が「技術的な余裕があればやりたい話」でなく「今期の経営議題」になっているのはこのためです。
ZTNAとVPNの違いを1分で理解する
ZTNA（Zero Trust Network Access）は、「VPNの代替ではなく、VPNの考え方そのものを置き換える」技術です。
VPNは、社内ネットワークへの「入口」を守る設計です。一度認証が通れば、そのユーザーは社内LAN全体に対してアクセス権を持つ（または持ちうる）状態になります。攻撃者がVPN認証を突破した場合、内部への横展開が容易になる点が根本的な問題です。
ZTNAは、アプリケーション単位でアクセスを制御します。「このユーザーが、このデバイスから、このアプリに今アクセスしてよいか」を毎回評価します。認証が通っても、別のアプリ・別のデバイス・別のコンテキストでは改めて評価が走ります。これが「信頼しない（Zero Trust）」という意味です。
切り替えに際して最初に理解しておくべき点は、ZTNAはVPNクライアントをアンインストールしてZTNAクライアントをインストールすれば完了、という話ではないということです。アプリ単位のポリシー設計、IDプロバイダー（多くの場合Azure ADやOktaなど）との連携設定、エンドポイントのデバイス管理の仕組みが必要になります。この設計コストが、導入費用の大半を占めます。
製品別ライセンス費用（公式確認済みと要問合せを分けて整理）
公式ページで確認できる製品
以下3製品は、2026年6月時点で公式料金ページに明示された価格が存在します。
Cisco Duo（duo.com/pricing 確認済み）
| プラン | 月額/ユーザー | ZTNAの有無 |
|---|---|---|
| Free | $0 | なし（MFAのみ） |
| Essentials | $3 | なし |
| Advantage | $6 | 部分的（デバイス信頼） |
| Premier | $9 | あり（完全パッケージ） |
ZTNA機能を含むのはPremierプランです。100名規模で$9/ユーザー/月 = $900/月（2026年6月時点・1ドル=155円換算で約139,500円/月）。Duoは既存のMicrosoft 365やOktaとの連携実績が豊富なため、IDプロバイダーを変えずに導入できる点が選ばれる理由の一つです。
Twingate（twingate.com/pricing 確認済み）
| プラン | 月額/ユーザー | 上限ユーザー |
|---|---|---|
| Starter | 無料 | 5名まで |
| Teams | $5 | 100名まで |
| Business | $10 | 500名まで |
中小〜中堅規模向けにシンプルな構成で導入できる製品です。100名でTeamsプランなら$500/月（約77,500円/月）。エージェント型ZTNAで、既存のファイアウォールを変えずに社内リソースへの接続制御を追加できる構成が特徴です。300名規模になるとBusinessプラン適用で$3,000/月（約465,000円/月）。
IIJフレックスモビリティサービス/ZTNA（iij.ad.jp/biz/fxm/ 確認済み）
国内のSIerとの協調が前提で、サポートを日本語で受けたい場合の選択肢です。
| プラン | 対応台数 | 初期費用 | 月額 | 1デバイス単価（月額） |
|---|---|---|---|---|
| Starter | 300台・100Mbps | 367,500円 | 315,000円 | 1,050円 |
| Core | 1,500台 | 要確認 | 1,522,500円 | 1,015円 |
| Complete | 要確認 | 要確認 | 2,335,500円 | 1,557円 |
| SSEアドオン | — | — | +900,000円/月 | — |
100〜300名規模ではStarterプランが対象になりますが、300台上限・100Mbpsという帯域制限が実運用でボトルネックになるかどうかを事前に確認する必要があります。
要問合せで単価非公開の製品
以下の製品は公式サイトに料金の明示がなく、見積もり依頼が必要です。下記の参考値は情シス365（josis365.com）の2026年SASE/ZTNA比較記事に掲載された目安値であり、公式の料金ではありません。実際の導入前には必ず各社へ見積もりを依頼してください。
| 製品 | 月額目安（/ユーザー） | 備考 |
|---|---|---|
| Cloudflare One | 900〜1,200円 | 情シス365 2026年目安値 |
| Zscaler ZIA+ZPA | 2,000〜2,500円 | 情シス365 2026年目安値 |
| Netskope | 1,500〜2,200円 | 情シス365 2026年目安値 |
| Palo Alto Prisma Access | 1,800〜2,500円 | 情シス365 2026年目安値 |
Cloudflareについて補足すると、Cloudflare.comの公式プランページ（cloudflare.com/plans/）に表示されている Free/Pro/Business/$0〜$200/月 という料金は、CDN・DDoS保護などのWebアプリ向けプランです。Zero Trust（ZTNA）機能はCloudflare Oneというプロダクト群に属し、上記の公式プランページとは別の料金体系になります。Cloudflare OneのFree枠は50ユーザーまで利用可能ですが、50名を超える本格導入は要見積もりになります。
規模別コスト試算表（100名・200名・300名）
以下の試算は、製品選定としてCisco Duo Premier（公式確認済み・$9/月/ユーザー）を代表例に取り、SIer構築費の目安値を加算したものです。
為替レート：1ドル=155円（2026年6月時点）
SIer各社の実績値はプロジェクト規模により100万円〜1,000万円超と幅が大きく、必ず複数社への見積もりが必要です。（出典未確認の目安値。個別見積もりを要する）
年間コスト試算（Cisco Duo Premier を例に）
| 規模 | ライセンス費（年間） | SIer構築費（目安・一時費用） | 運用費（年間目安） | 初年度合計目安 |
|---|---|---|---|---|
| 100名 | 約167万円 | 100〜200万円 | 50〜100万円 | 約320〜470万円 |
| 200名 | 約335万円 | 200〜300万円 | 100〜150万円 | 約635〜785万円 |
| 300名 | 約502万円 | 300〜800万円 | 150〜200万円 | 約950〜1,500万円 |
3年TCO（総保有コスト）の考え方
稟議資料で経営層に示すべきは初年度コストではなく、3年TCOです。構築費は1回限りですが、ライセンス費と運用費は毎年続きます。
| 規模 | 3年ライセンス費 | 構築費（一時） | 3年運用費 | 3年TCO目安 |
|---|---|---|---|---|
| 100名（Duo Premier） | 約502万円 | 100〜200万円 | 150〜300万円 | 約750〜1,000万円 |
| 200名（Duo Premier） | 約1,004万円 | 200〜300万円 | 300〜450万円 | 約1,500〜1,750万円 |
| 300名（Duo Premier） | 約1,506万円 | 300〜800万円 | 450〜600万円 | 約2,260〜2,900万円 |
Twingateを選ぶと100名（Teams/$5）で3年ライセンス費が約278万円になり、Duo Premierの約55%に抑えられます。ただし、国内サポートの厚みや既存システムとの連携コストが変わるため、ライセンス費の安さだけで選ぶと構築費・運用費で上回るケースがあります。
製品選定マトリックス
試算表の数字が出た後に「ではどれを選ぶか」を決めるための判断軸を整理します。
| 状況 | 選定の方向性 | 理由 |
|---|---|---|
| 既存IdPがAzure AD/Entra ID | Cisco Duo または Cloudflare One | 連携実績が豊富・追加費用が少ない |
| Oktaを使っている | Twingate または Cloudflare One | Okta連携がネイティブ |
| 100名以下・まず試したい | Twingate Teams（$5/月/人） | 公式確認済み・低コスト・シンプル |
| 国内サポートが必須 | IIJ フレックスモビリティサービス/ZTNA | 日本語サポート体制 |
| グローバル展開・複数拠点 | Zscaler ZIA+ZPA または Palo Alto Prisma | PoP数が多い・エンタープライズ実績 |
| クラウドセキュリティ（SWG）も一体で | Cloudflare One または Netskope | SASE的な統合運用が可能 |
| FortiGateからの移行でFortinet継続を検討 | FortiGate ZTNA（要見積もり） | FortiClientとの親和性 |
SaaS製品の固定IPアドレス制限をかけている環境では、ZTNA切り替え後に接続不可になる事例があります（NTT西日本エンジニアブログ・2026年4月）。この確認は製品選定より先に行う必要があります。
移行前に知っておくべき落とし穴8選
ZTNAへの移行で実際に詰まるポイントを、現象・原因・対策のセットで整理します。
① ADとZTNAエージェントが通信できない 現象：移行後にドメイン参加PCが認証できなくなる。原因：IAP型ZTNAはアプリ単位の細かいポリシー設定が必須で、ADとのLDAPやKerberosの通信が通らない製品がある（NTT西日本エンジニアブログ・2026年4月）。対策：PoC環境でAD連携を先に検証してから全展開に進む。
② SaaS固定IP制限で接続不可 現象：ZTNA経由でSaaSにアクセスすると拒否される。原因：SaaS側が許可IPをホワイトリストで管理しており、ZTNAのエグレスIPが登録されていない。対策：移行前にSaaS全棚卸しと固定IP制限の有無を確認する（NTT西日本エンジニアブログ・2026年4月）。
③ エンドポイント管理が前提になっていない 現象：ZTNAクライアントの展開が完了しない・MDMがないと配布できない。原因：ZTNAはデバイス証明書やコンプライアンス状態の評価を前提とするが、MDM（Intune等）が整備されていないと評価できない。対策：MDM整備をZTNA移行の先行工程に置く。
④ ポリシー設計の工数を過小評価 現象：想定の2〜3倍の工数がかかる。原因：「VPNの代わりに入れればいい」という認識で進めると、アプリ単位のポリシー設計・テスト・例外対応の積み上げに気づかない。対策：構築費の見積もり依頼時に「ポリシー設計・テスト工数を含めた提案」を明示して依頼する。
⑤ ライセンス費の「ユーザー数」カウントの定義がズレる 現象：見積もりより実際のライセンス費が高くなる。原因：製品によってアクティブユーザーのカウント方法（同時接続数・月内ログイン数・登録数）が異なる。対策：見積もり時に「社員数〇名のうち実際にリモートで使う人数の定義」をすり合わせる。
⑥ MFAの追加コストを見落とす 現象：ライセンス費に加えてMFAアプリのライセンスが別途必要になる。原因：ZTNAはMFA（多要素認証）を前提とするが、既存のMFA環境がない場合は追加コストが発生する。対策：既存のMFA整備状況を棚卸しして試算に含める。
⑦ 帯域・レイテンシの変化を説明できない 現象：「遅くなった」というユーザー報告が増え、経営層に説明できなくなる。原因：クラウド型ZTNAはすべての通信をクラウドプロキシ経由にするため、物理的に遠いPoPを経由すると遅延が増加する。対策：採用製品のPoPロケーションと主要拠点の距離をPoC前に確認する。
⑧ 段階導入が計画倒れになる 現象：「まず一部グループで試す」のはずが、全社一斉展開になるか、逆に試験環境のまま止まる。原因：パイロット対象の選定・成功基準・本格展開のトリガーが定義されていない。対策：Phase計画に「〇ヶ月後に〇の指標を満たしたら次へ進む」という定量基準を入れる。
移行ステップの現実的なロードマップ（3〜6ヶ月想定）
情シス365（FortiGate SSL VPN廃止対応ガイド）で示されているPhase構成を参考に、実務観点で補足します。
Phase 1（0〜1ヶ月）：現状の棚卸しと製品選定
- 社内で利用している全アプリ・リソースのリストアップ
- SaaSの固定IP制限の有無を確認
- VPN経由でアクセスしているシステムの一覧化
- IdP（Azure AD / Okta等）の整備状況確認
- 製品3〜4社への見積もり依頼（PoC環境の提供も依頼）
この段階で棚卸しが不完全だと、後工程のポリシー設計が計画倒れになります。
Phase 2（1〜3ヶ月）：PoC（概念実証）
- パイロット対象グループ（20〜30名程度）でZTNAエージェント展開
- AD連携・SaaS連携の動作確認
- MDM未整備の場合は並行して整備
- ポリシー設計のプロトタイプ作成
Phase 3（3〜6ヶ月）：段階的展開
- PoCで確認したポリシーを全社向けに展開
- 部門ごとの移行スケジュールを設定（一斉ではなく段階）
- VPNとZTNAの並行運用期間を設ける（切り戻し保険）
- ヘルプデスクに移行後の接続トラブル対応手順を共有
Phase 4（6ヶ月〜）：VPN依存の完全脱却
- パイロットで残ったVPN接続を順次移行
- FortiGate SSL VPNの廃止タイミングに合わせたスケジュール設定
- 運用マニュアルの整備と定例レビューの設定
情シス365のガイドでは6〜12ヶ月でのZTNAパイロット導入、12ヶ月以降でのVPN依存完全脱却という想定が示されています。「今期中に廃止」という経営指示がある場合でも、この段階を飛ばすと本番移行後のトラブルで逆に工数が増えます。
移行前に確認しておきたいセルフチェックリスト
以下の7項目を確認してください。未完了が複数ある場合は、ZTNA製品の選定より前に整備が必要な前提条件が残っています。
- 社内全アプリ・リソースの棚卸しが完了している
- 利用中SaaSの固定IP制限の有無を確認済みである
- IdP（Azure AD・Okta等）の整備状況を確認済みである
- エンドポイント管理（MDM等）の整備状況を確認済みである
- MFAの整備状況・追加コストの有無を試算に含めている
- 製品PoC環境での動作確認（AD連携・SaaS連携）の計画がある
- 移行期間中のVPNとの並行運用・切り戻し手順が決まっている
未完了項目が3つ以上ある場合、製品選定を急ぐよりも現状把握に先に工数を使うほうが移行全体の期間が短くなります。
ZTNAへの移行設計について個別相談を受け付けています。初回相談は無料です。稟議向けの費用試算の整理や、現状環境の整理から入ることも可能です。
まとめ：ZTNA移行の費用感と判断のポイント
費用の幅が大きい理由は、製品選定・規模・既存インフラの整備状況によって構築費と運用費が大きく変わるからです。ライセンス費だけで比較すると、Twingate Teamsの$5/月/ユーザーからPalo Alto Prisma AccessやZscalerの要見積もりまで、単価で5倍以上の差があります。
稟議書を作る際に押さえるべきポイントは3つです。
1つ目は、公式確認済みの数字と第三者情報の目安値を混在させないことです。Cisco DuoとTwingateとIIJは公式ページで価格を確認できます。Cloudflare One・Zscaler・Netskope・Palo Altoは2026年時点で公式非公開のため、情シス365などの第三者目安値を参考にしつつ必ず見積もりを取る必要があります。
2つ目は、3年TCOで比較することです。ライセンス費の安い製品が構築費・運用費で逆転するケースは実務では珍しくありません。
3つ目は、コストより設計順序が重要だという点です。棚卸し・IdP整備・MDM整備・PoC確認という前提工程を踏まずに製品を先行導入すると、ポリシー設計の修正コストが後から積み上がります。移行の成否はZTNA製品の選定より、Phase 1の棚卸しの精度で決まります。
掲載している価格・プラン情報は2026年6月時点のものです。製品の料金は変更される場合があります。導入前に必ず各製品の公式サイトおよび販売代理店に最新情報を確認してください。