米 議員が連邦政府の旧式VPNを2年以内に廃止するよう提言、ZTNA移行と調達基準の刷新を要求

米民主党のロン・ワイデン上院議員は2026年7月27日、米連邦政府が使用するインターネット公開型の旧式VPNやリモートアクセスゲートウェイを2年以内に廃止し、ゼロトラストアーキテクチャへ移行するよう求める書簡を、行政管理予算局（OMB）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、米国立標準技術研究所（NIST）へ送付しました。書簡は、Cisco、Fortinet、Ivanti、Check Pointなどの境界機器を狙った攻撃が繰り返されている状況を挙げ、パッチ適用を急ぐ対症療法だけでは持続できないと指摘しています。現時点では議員による政策提言であり、連邦機関に対する新たな廃止命令や法的期限が確定したものではありません。

米連邦政府の旧式VPN廃止提言の概要サマリー

• ワイデン上院議員は、インターネットへ公開された旧式VPNとリモートアクセス基盤を2年以内に廃止するよう提言しました
• 対象はすべてのVPN技術ではなく、外部から探索・攻撃できる旧式の公開型リモートアクセス装置です
• CISAには、文民連邦機関を対象とする拘束力ある運用指令の発出を求めています
• NSAには、軍、情報機関、国家安全保障関連ネットワークで同様の廃止期限を設けるよう求めています
• NISTには、外向き通信だけを使うリモートアクセス、メモリ安全な言語、組織が管理する暗号鍵、耐量子暗号との整合を含む実装基準の作成を求めています
• OMBには、ゼロトラスト投資の優先化と、旧式基盤を予算サイクルの中で廃止するための政府横断メモの発出を求めています
• FARとDFARSを改定し、新基準に適合しないVPNや境界機器を連邦機関と防衛請負企業が購入できないようにする提言も含まれます
• 背景にはArcaneDoor、FortiBleed、Ivanti Connect Secure、Check Point VPNなどを巡る攻撃や認証情報露出があります
• Travelersの分析では、2025年8月から12月のサイバー保険請求の85％超でVPNが侵入起点として関係しました
• 提言は2022年の連邦ゼロトラスト戦略を一段進め、VPNの更新ではなく公開型ゲートウェイそのものを減らす方向を示しています
• 本稿執筆時点で、CISA、OMB、NISTが提言どおりの新指令や実装基準を発表した事実は確認できません

項目	内容
公表日	2026年7月27日
提言者	ロン・ワイデン米上院議員
送付先	OMB、CISA、NIST
主な対象	連邦機関と政府・防衛請負企業が使用する旧式のインターネット公開型VPN、リモートアクセスゲートウェイ
提案期限	2年以内の段階的廃止
文民機関への措置	CISAによる拘束力ある運用指令を提案
国家安全保障系への措置	NSAによる軍・情報機関向けの並行指令を提案
移行先	ゼロトラストアーキテクチャ、ZTNA型のリモートアクセス
接続方式	組織内部から開始する外向き通信のみの構成を要求
認証・認可	接続時の一回限りではなく、利用者、端末、状況に基づく継続的な検証
ソフトウェア要件	メモリ安全なプログラミング言語の採用
暗号鍵	ベンダーではなく導入組織が管理する分散型の暗号鍵
暗号移行	耐量子暗号の標準化と整合
調達制度	FAR、DFARSを改定し、基準に適合しない製品の購入を禁止する提案
背景事案	Cisco ArcaneDoor、FortiBleed、Ivanti、Check Pointなど
現在の法的状態	議員による提言。新たな廃止命令や法的期限は未確定
日本企業への示唆	VPN延命だけでなく、公開入口の削減とアプリ単位のアクセス制御へ移行

ワイデン議員が旧式リモートアクセスの廃止を要求

ワイデン上院議員は、連邦機関と政府請負企業が、従業員の遠隔勤務や保守作業のためにインターネット公開型のVPNサーバーを使い続けていることを問題視しています。

従来型VPNは、利用者からの接続を受け付けるため、公開IPアドレスと待受ポートをインターネットへ露出します。攻撃者は検索エンジンやスキャンツールを使って装置を発見し、製品やバージョンを推測したうえで、既知の脆弱性や認証情報を使って攻撃できます。

書簡は、この構造を外部から見えるデジタル上の玄関にたとえています。

VPN機器は正規利用者の入口であると同時に、攻撃者にとっても組織内部へ到達する入口です。境界機器上で動くサービスに認証回避やリモートコード実行の脆弱性があれば、利用者が不審なファイルを開くなどの操作をしなくても侵入される可能性があります。

提言はVPNを一律に禁止する内容ではありません。対象は、外部から探索可能で、古いコードや一回限りの認証に依存する旧式のリモートアクセス基盤です。

新しい方式へ移行するまでの間、既存VPNのパッチ適用、MFA、接続元制限、監視が不要になるわけでもありません。

CISAへ2年以内の廃止指令を求める

書簡はCISAに対し、連邦文民行政機関を対象とした拘束力ある運用指令を発出し、旧式のインターネット公開型リモートアクセスシステムを2年以内に完全廃止するよう求めています。

拘束力ある運用指令は、連邦文民行政機関に具体的な是正措置を義務付ける仕組みです。

CISAはこれまで、実際に悪用されているVPN脆弱性が見つかるたびに、緊急指令を通じて更新、侵害調査、機器の初期化、設定変更などを求めてきました。

2024年1月にはIvanti Connect SecureとIvanti Policy Secureを対象にED 24-01を発出しました。攻撃者が脆弱性を悪用してネットワークへ侵入し、データ窃取や永続化を行ったことを受けた措置です。

2026年2月には、VPN装置、ルーター、ファイアウォールなど、サポート終了済みの境界機器を排除するBOD 26-02も発出しています。

ワイデン議員は、脆弱性が公表されるたびに緊急指令を出す対応を、終わりのない対症療法と評価しています。

製品をサポート中の機器へ交換しても、新たな重大脆弱性が見つかれば、同じように緊急更新が必要です。提言はサポート終了機器の排除から一歩進み、公開待受型のリモートアクセスという構造自体を縮小しようとしています。

NSAには軍・情報機関向けの並行措置を要求

CISAの拘束力ある運用指令は、主に連邦文民行政機関を対象とします。

軍、情報機関、国家安全保障システムには異なる指揮・監督体系が適用されるため、書簡はNSA長官に対しても、同じ2年の期限で旧式リモートアクセスゲートウェイと境界入口を廃止するよう求めています。

書簡は、2026年6月に発出された国家安全保障大統領覚書12を、新たな並行指令の権限根拠として挙げました。

対象を文民機関だけに限定すると、政府請負企業、防衛産業、軍・情報ネットワークに旧式の入口が残ります。

国家支援型攻撃者は、最も重要な政府機関を正面から狙うとは限りません。防衛請負企業、IT保守会社、通信事業者、ソフトウェアベンダーなど、接続関係を持つ組織を侵害し、認証情報や保守経路を使って本来の標的へ移動します。

政府全体とサプライチェーンで移行時期を合わせなければ、弱い接続先が残り続けます。

NISTへ具体的なゼロトラスト基準を要求

ワイデン議員は、ゼロトラストという概念だけを掲げるのではなく、旧式VPNを置き換える製品やサービスが満たすべき実装基準をNISTが作成するよう求めています。

書簡が挙げた要件は、外向き通信だけを使うリモートアクセス、メモリ安全なプログラミング言語、組織自身が管理する暗号鍵、耐量子暗号との整合です。

NIST SP 800-207は、ゼロトラストについて、ネットワーク上の場所だけを理由に利用者やシステムを信頼せず、利用者、端末、資産、リソースへのアクセスを都度評価する考え方を示しています。

ゼロトラストの概念と従来型境界防御の違いでも、VPNで社内ネットワークへ接続した後に広い信頼を与える方式と、アプリケーション単位で継続的に認証・認可する方式の違いを解説しています。

今回の提言は、従来の原則に製品設計上の具体条件を加えようとするものです。

外向き通信だけの構成で公開入口を消す

従来型VPNでは、組織の境界にある装置が外部からの接続を待ち受けます。

ZTNAの一部構成では、組織内部に置いたコネクターが、あらかじめ許可されたクラウドサービスや中継基盤へ外向きの通信を開始します。外部から組織内部のサーバーへ直接接続する待受ポートを設けません。

利用者が業務アプリケーションへアクセスすると、ポリシーエンジンが本人のID、端末の状態、場所、行動、リスクなどを評価し、そのアプリケーションだけへ接続を許可します。

ネットワーク全体へ参加させるのではなく、必要なアプリケーションへ限定した通信路を作るため、認証情報が侵害された場合の横移動範囲も抑えられます。

公開入口を減らすことは攻撃面の縮小につながりますが、ZTNAサービス自体が無条件に安全になるわけではありません。

IDプロバイダー、端末管理、ポリシーエンジン、コネクター、クラウド管理画面のいずれかが侵害されれば、不正アクセスが成立する可能性があります。移行ではMFA、端末証明書、最小権限、監査、障害時の代替手順を一体で設計する必要があります。

メモリ安全な言語を調達条件へ

書簡は、旧式リモートアクセス製品で悪用される重大脆弱性の多くが、バッファオーバーフロー、Use After Free、二重解放などのメモリ管理エラーに関係すると指摘しています。

CやC++で書かれたすべての製品が危険という意味ではありません。十分な検証や防御機構を持つ製品もあります。

一方、インターネットへ直接公開され、認証前の入力を処理する境界機器でメモリ破壊が発生すると、認証不要のコード実行へつながる場合があります。

書簡は、Rustなどのメモリ安全性を備えた言語の採用を通じ、脆弱性が見つかるたびに修正するのではなく、特定種類の欠陥を設計段階から減らすよう求めています。

製品調達で確認すべき対象は、利用している言語だけではありません。セキュア開発ライフサイクル、脆弱性開示、更新速度、サポート期間、SBOM、第三者部品、侵害時のログ取得も評価する必要があります。

暗号鍵を導入組織が管理

提言は、リモートアクセスサービスで使う暗号鍵を、サービス提供者だけに集中させず、導入組織が排他的に管理できる仕組みを求めています。

クラウド型のリモートアクセスでは、運用負担を減らせる一方、ベンダー側の管理基盤が侵害された際に複数顧客へ影響が広がる可能性があります。

顧客管理鍵や組織ごとの暗号分離を採用すれば、ベンダーが侵害されたことと、顧客データの復号が直結するリスクを下げられます。

ただし、鍵を自組織で管理すると、紛失、ローテーション失敗、緊急復旧、退職者による不正利用などの運用責任も増えます。

HSM、KMS、複数管理者による承認、バックアップ、監査、廃棄手順を整えずに鍵だけを自社管理へ変更すると、可用性や復旧性を損なう可能性があります。

FARとDFARSの改定で調達先まで規制

書簡はOMB、CISA、国防総省に対し、連邦調達規則FARと国防連邦調達規則補足DFARSを改定するよう求めています。

提案どおりなら、政府機関と防衛請負企業は、NISTが新たに定めるゼロトラスト基準への適合をベンダーが正式に証明しない限り、VPN、境界機器、リモートアクセス製品を購入できなくなります。

この措置は、既存システムの更新だけではなく、政府調達を通じて製品市場を変える狙いがあります。

米政府向け製品で外向き通信型の構成、メモリ安全な実装、顧客管理鍵、耐量子暗号が要件化されれば、ベンダーは民間向け製品にも同じ設計を展開する可能性があります。

日本企業も、米政府機関や防衛産業のサプライチェーンへ参加している場合、米国内の連邦機関だけの問題として扱えません。

日本拠点から米国のシステムへ接続する経路や、共同事業で使用するVPN製品が新しい調達要件へ適合するよう求められる可能性があります。

背景にCisco、Fortinet、Ivanti、Check Pointへの攻撃

書簡は、旧式リモートアクセスを廃止すべき背景として、複数の攻撃キャンペーンを挙げています。

CiscoのArcaneDoorでは、国家支援型とみられる攻撃者がASAなどの境界機器を狙い、Line DancerとLine Runnerというバックドアを使用しました。通信の傍受、認証処理の変更、設定改変、長期的なアクセス維持が可能でした。

FortiBleedは、Fortinet機器に関連する認証情報の大規模な露出・悪用問題です。Fortinetは、過去に流出した構成情報や認証情報を使う攻撃を確認し、ローカルアカウント、LDAP連携アカウント、SSO構成を含めて侵害を想定するよう案内しました。

Ivanti Connect Secureでは、複数のゼロデイ脆弱性が実際の攻撃に使われました。Ivantiの脆弱性を通じてMITREへゼロデイ攻撃が発生した事案では、VPN侵害からセッションハイジャックとMFA回避へ進んだ経緯を取り上げています。

Check Pointは2026年6月、非推奨のIKEv1を使用するRemote Access VPNとMobile Accessで、認証回避脆弱性CVE-2026-50751が実際に悪用されていると公表しました。Check Point VPNの認証回避脆弱性CVE-2026-50751で影響条件と対策を整理しています。

製品や攻撃者は異なりますが、インターネットへ公開された境界機器を突破し、組織内部へ高い権限で侵入する構図は共通しています。

サイバー保険請求の85％超でVPNが侵入起点

ワイデン議員はTravelersのサイバー脅威分析を引用し、2025年8月から12月に調査したサイバー保険請求の85％超で、VPNが侵入起点として関係したと説明しています。

この数値は、世界中の全ランサムウェア攻撃の85％がVPNから始まったことを意味しません。Travelersが対象期間中に分析した保険請求の範囲に基づく数字です。

対象集団や契約者の規模、利用製品などによる偏りは考慮する必要があります。

それでも、VPNがランサムウェアの侵入経路として高い割合を占めた事実は、境界機器が金銭目的の攻撃者にも狙われていることを示します。

国家支援型攻撃者は長期潜伏と情報窃取、ランサムウェアグループは短期間の権限奪取と暗号化を目的とします。目的は違っても、公開VPNの脆弱性や流出認証情報を使える点は同じです。

米政府は2022年からゼロトラスト移行を進めてきた

今回の提言は、米政府が突然VPN廃止を検討し始めたものではありません。

OMBは2022年1月、M-22-09「Moving the U.S. Government Toward Zero Trust Cybersecurity Principles」を公表し、連邦機関にゼロトラスト戦略の実装を求めました。

同文書は、ID、端末、ネットワーク、アプリケーションとワークロード、データの5分野を柱とし、フィッシング耐性のあるMFA、端末状態の把握、内部通信の暗号化、アプリケーション分離、データ分類などを示しています。

M-22-09は、MFAをVPN接続時のネットワーク認証だけに実装するのではなく、アプリケーション層と企業ID基盤へ統合するよう求めました。

一方、2024会計年度末までの目標が示されても、連邦機関には旧式の公開型リモートアクセスが残っています。

ワイデン議員の書簡は、原則と目標だけでは廃止が進まないとして、2年の期限、調達禁止、予算の優先化まで踏み込むよう求めたものです。

VPNをZTNAへ置き換える際の注意点

従来VPNを停止し、ZTNA製品を導入するだけではゼロトラスト移行は完了しません。

VPNでは利用者がネットワークへ接続し、その後に複数のサーバーへ到達できる構成が一般的です。ZTNAでは、利用者と端末を確認し、必要なアプリケーションだけへ接続させるため、アプリケーション、利用者、端末、通信経路を詳細に棚卸しする必要があります。

古い業務システムは、固定IP、Windowsドメイン、ファイル共有、独自プロトコル、ブロードキャスト通信などに依存し、アプリケーション単位の制御へ移行しにくい場合があります。

保守会社が複数顧客へ接続する環境、工場や医療機関のOT、災害時の緊急接続も慎重な設計が必要です。

移行中にVPNとZTNAを長期間併用すると、旧VPN側が残された侵入口になります。廃止日、例外期限、対象システムの責任者を明確にし、例外を恒久化させない管理が重要です。

ZTNAベンダーの障害時に全利用者が業務へアクセスできなくなる可能性もあります。地域分散、複数経路、緊急用アカウント、オフライン手順を含む可用性設計が必要です。

情報システム部門への示唆

日本企業の情報システム部門は、今回の提言を米連邦政府だけの政策論として見るのではなく、インターネット公開型VPNの寿命を示す動きとして捉える必要があります。

自組織が使用するSSL-VPN、IPsec VPN、リモートデスクトップゲートウェイ、保守用VPN、クラウド管理ゲートウェイを一覧化してください。

台帳には製品名、バージョン、公開IP、待受ポート、サポート期限、MFA、接続元制限、管理者、委託先、利用者、接続先、ログ保存期間を記録します。

サポート終了機器や、重大脆弱性が繰り返されている製品は、更新だけで延命するのではなく、廃止計画を策定する必要があります。

公開VPNを当面維持する場合は、次の対策が必要です。

• ベンダーのセキュリティ更新を緊急変更として適用できる体制を整える
• フィッシング耐性のあるMFAを適用する
• 管理画面と利用者向けVPNの公開範囲を分離する
• 国・地域、IPアドレス、時間帯、端末証明書で接続を制限する
• VPN接続後のネットワークを分割し、利用者ごとに到達先を限定する
• VPN、IdP、EDR、ファイアウォールのログを相関分析する
• 機器交換や初期化後に古いセッション、証明書、APIキーを失効させる
• 保守事業者の共用アカウントと常時接続を廃止する

ZTNAへの移行では、重要度と実装難易度に基づき、Webアプリケーション、SaaS、管理画面、保守アクセスから段階的に対象を広げます。

移行後も、利用者IDだけでアクセスを許可せず、会社管理端末か、EDRが正常か、パッチが適用されているか、通常の場所・時間・行動かを確認してください。

製品選定では、外向き通信だけで構成できるか、顧客管理鍵に対応するか、管理基盤が侵害された場合の分離、メモリ安全な実装方針、脆弱性開示、サポート期間、耐量子暗号への移行計画を確認します。

米政府の提言どおりに制度化されるかは現時点で不明です。ただし、CISAがサポート終了済み境界機器の排除をすでに命じ、VPNを狙う国家支援型攻撃とランサムウェアが続いている事実を踏まえると、公開型VPNを恒久的な前提として更新し続ける戦略は見直す時期に来ています。

出典

• Wyden Urges Federal Government to End Use of Insecure Remote-Access Software – Office of U.S. Senator Ron Wyden
• Letter to OMB, CISA and NIST on Legacy VPN and Remote Access Systems – Office of U.S. Senator Ron Wyden
• Zero Trust Architecture NIST SP 800-207 – National Institute of Standards and Technology
• M-22-09 Moving the U.S. Government Toward Zero Trust Cybersecurity Principles – Office of Management and Budget
• BOD 26-02 Mitigating Risk From End-of-Support Edge Devices – CISA
• Supplemental Direction V1 ED 24-01 Mitigate Ivanti Connect Secure and Ivanti Policy Secure Vulnerabilities – CISA
• ArcaneDoor New Espionage-Focused Campaign Targeting Perimeter Network Devices – Cisco Talos
• Analysis of Reported Credential Compromise of FortiGate Devices – Fortinet
• Active Exploitation of Check Point VPN Authentication Bypass CVE-2026-50751 – Check Point
• Facing Today’s Cyber Threat Landscape – Travelers Institute
• Outdated VPNs should be purged from federal agencies, senator says – The Record
• CISAがサポート終了済みのルーターやファイアウォールを排除する指令 – セキュリティ対策Lab
• ゼロトラストとは、概念や従来のセキュリティとの違いを解説 – セキュリティ対策Lab
• Ivantiの脆弱性を通じてMITREへゼロデイ攻撃が発生 – セキュリティ対策Lab
• Check Point VPNの認証回避脆弱性CVE-2026-50751、攻撃への悪用を確認 – セキュリティ対策Lab