脱VPNは必要なのか【前編】

なぜVPNは「もはや時代遅れ」なのか？

VPN（仮想プライベートネットワーク）はセキュリティの観点から、安全なツールとは言い切れない。VPNにはどのようなリスクがあるのか。

公開 2025年01月22日 07時15分

[TechTarget]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　クラウドサービスやテレワークを導入する企業が増えるにつれ、VPN（仮想プライベートネットワーク）の限界が明らかになりつつある。VPNはネットワーク境界を保護するため設計された技術だが、オンプレミスインフラやクラウドサービスを併用する分散インフラには適していない。

　デジタルプライバシーに関するWebサイト「PrivacyTutor」の研究者が2023年にVPNベンダーを対象に実施した調査によると、VPNサービスの約72％がEU（欧州連合）の「GDPR」（一般データ保護規則）の基準を満たしていなかった。VPNにはどのようなリスクがあるのか。

なぜVPNは時代遅れなのか？　浮き彫りになった4大リスク

併せて読みたいお薦め記事

脱VPNの前にVPNを理解する

　VPNは本来、従業員がオフィスなど固定された場所で働くことを前提に設計されている。テレワーカーが増え、クラウドサービスが普及した現在、企業がVPNを利用することには複数の課題が伴う。

　1つ目の課題は、スケーラビリティ（拡張性）だ。VPNゲートウェイの処理能力は決まっているため、従業員がVPNを使って接続するほど通信速度は低下し、レイテンシ（遅延）が増加して結果としてUX（ユーザーエクスペリエンス）の質が低下する恐れがある。

　2つ目の課題は、VPNがネットワーク内部からの攻撃を防御できないことだ。VPNは内部のネットワークにいるエンドユーザーを信頼して、リソースへのアクセスを許可する。

　3つ目はアクセス制御機能の欠如だ。VPNにはアクセス権限を詳細に設定できる動的セキュリティポリシーが欠けている。そのため、VPN単体で運用すると、ユーザーは必要以上のリソースにアクセスできてしまう。これは、認証情報が盗まれた際のセキュリティリスクとなる。

　4つ目は、企業がリソースを複数のクラウドサービスに分散している場合、VPNだけではセキュリティの確保が難しくなることだ。企業が複数のクラウドサービスやオンプレミスインフラの間でデータをやりとりして、ネットワークが複雑化するようになった。こうした状況では、VPNで信頼できるネットワークおよびその境界を明確に定義することが難しい。

　次回はVPNから脱却するためのセキュリティ技術を紹介する。