Cisco Umbrella vs Zscaler ZIA vs Cloudflare Gateway: 2026年版SIG比較

2026年の展開に向けたセキュアインターネットゲートウェイ（SIG）の評価には、マーケティングの誇大宣伝を超えた視点が必要です。本稿では、Cisco Umbrella、Zscaler Internet Access (ZIA)、Cloudflare Gatewayを、アーキテクチャの違い、パフォーマンス指標、セキュリティ有効性、そして1,000人から50,000人規模の組織における総所有コスト（TCO）に焦点を当てて分析します。私たちの視点は現場からのものであり、何が機能し、何が機能しないのか、そして潜んでいるコストはどこにあるのかを明らかにします。

アーキテクチャの基盤とパフォーマンスの基準

Cisco Umbrella、Zscaler ZIA、Cloudflare Gatewayは、セキュアなインターネットアクセスへのアプローチが根本的に異なります。Umbrellaは、DNSレイヤーセキュリティプラットフォームとしてスタートしました。現在では、HTTPプロキシ、CASB、DLPを備えたフルSIGへと大幅に拡張されていますが、そのDNSの出自から、フィルタリングの決定は接続ライフサイクルの早期に行われることが多いです。完全なインライン検査には、トラフィックがプロキシされます。Zscaler ZIAは、インラインのフルスタックプロキシとしてゼロから構築されています。Zscaler Enforcement Node（ZEN）に誘導されたすべての接続は、シングルパスアーキテクチャを通過し、すべてのセキュリティ機能（ファイアウォール、IPS、DLP、CASB、サンドボックス、SSLインスペクション）が同時に適用されます。この設計は、レイテンシを最小限に抑え、包括的な検査を保証することを目的としています。

Cloudflare Gatewayは、Cloudflare Oneの一部として、Cloudflareの広大なグローバルネットワークを活用しています。DNSフィルタリング、HTTP/HTTPS検査、およびエッジロケーションを通じたネットワークセキュリティを提供します。トラフィックの誘導は、DNS、WARPクライアント、GREトンネル、またはIPsecを介して行うことができます。Cloudflareの強みは、Anycastルーティングにより、DNSルックアップと初期接続確立においてグローバルなユーザーへの近接性、ひいては低レイテンシを提供する可能性にあります。しかし、完全なインラインTLS 1.3検査の場合、セキュリティチェーンが顕著なオーバーヘッドを導入する可能性があります。100 Mbpsのインターネット回線では、ZscalerはローカルZENから出力される際、ほとんどのウェブトランザクションで50ms以下のレイテンシを報告していますが、UmbrellaのHTTPプロキシは、エンドポイントのVADC（Virtual Appliance Data Center）への近接度と検査深度に応じて30-100msを追加する可能性があります。CloudflareのWARPクライアントは、最も近いPoPに対して標準的なウェブブラウジングで10-30msを追加することが多いですが、詳細なコンテンツ検査を行うとさらに高くなる可能性があります。

TLS検査とレイテンシの考慮事項

TLS 1.2および1.3トラフィックを効果的に検査し、パフォーマンスを著しく低下させない能力は、重要な差別化要因です。Zscaler ZIAのシングルパスアーキテクチャはこれに最適化されており、一般的なウェブアプリケーションのユーザーエクスペリエンスへの影響を最小限に抑えながら、完全なTLSプロキシとコンテンツ検査を実行します。きめ細やかなポリシーにより、選択的復号化が可能であり、コンプライアンスを維持したり、アプリケーションの破損を避けたりするために、銀行や医療サイトをバイパスしながらも、DNSフィルタリングやIP/URLベースのアクセス制御などの非復号化ポリシーを適用することができます。ZENのパフォーマンスは、インスタンスあたりマルチギガビットのスループットを処理するように設計されています。

Cisco Umbrellaは、そのAnyConnect Secure Client（現在のSecure Client）または明示的なプロキシ設定を使用して、完全なHTTP/HTTPS検査を行います。復号化用のエンタープライズ証明書をサポートしていますが、様々な地域VADCに分散されたバックエンドプロキシインフラストラクチャは、様々なパフォーマンス特性を示す可能性があります。すべての暗号化されたトラフィックに対してディープCASBおよびDLPを実行する大規模な展開では、特にVADCから離れたユーザーの場合、より高いレイテンシを経験する可能性があります。Cloudflare GatewayのTLS復号化機能は強力で、グローバルネットワークを活用しています。WARPクライアントはトラフィックをインテリジェントに誘導し、そのエッジインフラストラクチャは高スループット向けに設計されています。しかし、Cloudflareのセキュリティスタックのマルチテナントの性質は、地域負荷と特定のポリシー構成に基づいてパフォーマンスが変動する可能性があることを意味します。これら3つすべてにおいて、企業所有デバイスへの慎重な証明書配布が必要です。Microsoft Teamsや特定のSaaSプラットフォームなど、証明書ピンニングがあるためTLS検査で機能しなくなる特定のアプリケーションやカテゴリをホワイトリストに登録することを想定してください。

脅威インテリジェンスとサンドボックスの有効性

SIGの価値は、その脅威インテリジェンスフィードと、高度な脅威を迅速に検出および防止する能力に直接関係しています。Zscalerは、毎日2000億件以上のトランザクションを検査する広大なグローバルネットワークを活用して、ThreatLabZインテリジェンスを強化しています。これにより、新しいフィッシングサイト、コマンド＆コントロール（C2）通信、ゼロデイエクスプロイトをリアルタイムで特定できます。彼らのクラウドサンドボックスであるNSS（Nano Sandbox Service）は完全に統合されており、疑わしいファイルやURLを大規模な仮想環境でデトネーションします。この統合された脅威インテリジェンスとサンドボックスは、ZIAプラットフォームの中核コンポーネントです。

Cisco Umbrellaは、業界で最大の脅威インテリジェンス組織の一つであるTalosの恩恵を受けています。Talosのデータは、メール、ネットワーク、エンドポイント、およびウェブのベクトルをカバーし、脅威ランドスケープの包括的なビューを提供します。Umbrellaのサンドボックス機能は、Cisco Secure Malware Analytics（旧Threat Grid）と統合されることが多く、ファイルに対する同様のデトネーション機能を提供します。Cloudflare GatewayはCloudflare独自の脅威インテリジェンスを利用しており、DDoS、ボット管理、ウェブアプリケーション攻撃に重点を置いています。これらの分野では強力ですが、一般的なマルウェアやフィッシングのインテリジェンスは、エンドポイントやネットワークの脅威に広く焦点を当てたTalosやThreatLabZほど深くはないかもしれません。Cloudflareは、ZscalerやCiscoの統合製品と同じアーキテクチャの深さを持つネイティブのサンドボックスを提供するのではなく、サードパーティのサンドボックスソリューションと統合することが多いです。

CASBとDLPの機能

クラウドアクセスセキュリティブローカー（CASB）とデータ損失防止（DLP）は、包括的なSIGにとってますます重要になっています。Zscaler ZIAは強力なインラインCASB機能を提供し、許可されたSaaSアプリケーションと未許可のSaaSアプリケーションに対するきめ細やかな制御を可能にします。これには、接続後の分析と検出のためのAPIベースのCASBが含まれます。そのDLPは堅牢であり、カスタム辞書、正確なデータマッチング（EDM）、インデックス付きドキュメントマッチング（IDM）、および近接分析をサポートし、機密データの流出試行に対するインシデント管理ワークフローを備えています。ポリシーは、暗号化されたトラフィックに直接インラインで適用できます。

Cisco UmbrellaのCASBモジュール（多くの場合、上位のライセンスティアが必要）は、クラウドアプリの使用状況の可視化、リスクスコアリング、および特定の活動をブロックするためのポリシー施行を提供します。そのDLP機能も包括的で、キーワードマッチング、正規表現、ファイルタイプ検出を活用します。改善されつつありますが、UmbrellaのDLPは historically、Zscalerのより成熟した製品と比較して、より多くの構成とチューニングが必要でした。Cloudflare GatewayはSaaSアプリケーションの使用状況を可視化し、IDとデバイスのポスチャに基づいてアクセスポリシーを施行できます。そのDLP機能は進化しており、機密データタイプに対する基本的なキーワードと正規表現のマッチングを提供します。特にEDM/IDMのような高度なDLPの場合、CloudflareはしばしばサードパーティのDLPソリューションとの統合に依存します。高度な統合DLPを優先する組織は、規制対象データに関する特定の要件に対して、Cloudflareのネイティブ機能について厳しく検討する必要があります。

SD-WANおよびエンドポイントエージェントとの統合

トラフィックの効率的な誘導はSIGにとって極めて重要です。Zscalerは、Cisco Viptela（SD-WAN by Cisco）、FortiGate、Versa、Palo Alto Networksなどの主要なSD-WANベンダーとネイティブに統合されています。IPsecトンネルまたはGREは、SD-WANブランチデバイスからZscaler ZENに直接確立できます。Zscaler Client Connector（ZCC）エージェントは、リモートユーザー向けに堅牢なトラフィック転送を提供し、デバイスポスチャチェック、動的なVPNフェイルオーバー、およびきめ細やかなポリシー施行をサポートします。ZCCは、最小限のオーバーヘッドと高い信頼性で設計されており、Windows、macOS、iOS、Androidで優れたパフォーマンスを発揮します。

Cisco Umbrellaは、IPsecトンネルを介してCisco SD-WAN（ViptelaまたはMeraki）とシームレスに統合します。Meraki MXアプライアンスの場合、直接統合によりDNSリダイレクトとプロキシ処理が可能になります。Cisco Secure Client（旧AnyConnect）は、VPN、ネットワークアクセスコントロール（NAC）、およびトラフィックを直接誘導するためのUmbrellaモジュールを提供する成熟したエンドポイントエージェントです。その広範な展開ベースは、既存のCisco顧客にとって魅力的です。Cloudflare Gatewayは、IPsecまたはGREを介したSD-WANアプライアンスからのトラフィック誘導をサポートし、リモートユーザー向けに独自のWARPクライアントを活用します。WARPは、Cloudflareネットワークへの軽量でセキュアなトンネルを提供し、ルートを最適化することでパフォーマンス上の利点を提供します。効果的ではありますが、既存のCisco AnyConnect展開を持つ組織は、戦略的に統合しない場合、エージェントの乱立に直面する可能性があります。Cisco SD-WANとの深い統合には、Umbrellaは、共有エコシステムを考慮すると、Cloudflareよりも一般的に合理化されたエクスペリエンスを提供します。

TCOとライセンスの考慮事項

価格モデルは大きく異なり、定価を超えた詳細な分析が必要です。ZscalerのZIAの価格設定は、通常ユーザーあたり、月額で、機能セット（例：Business、Transformation、Transformation Edition with ZDX）に基づいてティアが設定されます。1,000ユーザーの場合、ティアによって年間3.5万ドル〜6万ドルを見込むべきです。10,000ユーザーの場合、これは35万ドル〜60万ドルにエスカレートします。50,000ユーザーの場合、170万ドル〜300万ドル以上になる可能性があります。これらは概算であり、実際のコストは交渉やZDXやZPAなどのアドオンによって異なります。Zscalerのバンドルアプローチは、基本的に包括的なフルスタックセキュリティサービスに対して支払うことを意味し、彼らの大規模なインフラ全体に償却されます。

機能/指標	Cisco Umbrella (SIG Advantage)	Zscaler ZIA (Transformation)	Cloudflare Gateway (Enterprise)
コアアーキテクチャ	DNSファースト、プロキシセカンド	インライン、シングルパスプロキシ	グローバルエッジネットワーク、プロキシ
TLS 1.3検査	はい、VADCのオーバーヘッドあり	最適化済み、最小レイテンシ	はい、グローバルPoPを活用
脅威インテリジェンス	Cisco Talos	ThreatLabZ (2000億件以上/日)	Cloudflare (DDoS/Bot重視)
ネイティブサンドボックス	Cisco Secure Malware Analytics	NSS (Nano Sandbox Service)	サードパーティ統合
高度なDLP	包括的 (キーワード、正規表現、ファイル)	堅牢 (EDM、IDM、近接)	進化中 (キーワード、正規表現)
CASBの深さ	検出 + ポリシー施行	インライン + API、シャドーIT制御	検出 + アクセス施行
エンドポイントエージェント	Cisco Secure Client	Zscaler Client Connector	Cloudflare WARP
SD-WAN統合	Cisco SD-WAN/Merakiと強力	主要ベンダーと幅広く統合	PoPへのIPsec/GRE
約1万ユーザーのTCO（年間）	25万ドル - 45万ドル	35万ドル - 60万ドル	15万ドル - 30万ドル

Cisco Umbrellaの価格設定も同様に、通常ユーザーあたり、年間で、DNS/IP Enforcement、SIG Essentials、SIG Advantageなどの機能バンドルによってティアが設定されます。1,000ユーザーの場合、Umbrella SIG Advantageは年間2.5万ドル〜4.5万ドルの範囲になる可能性があります。10,000ユーザーの場合、25万ドル〜45万ドル。50,000ユーザーの場合、120万ドル〜220万ドル。既存のCisco顧客は、しばしば有利なバンドルを受け取ります。Cloudflare Gatewayの価格設定は、通常Cloudflare Oneバンドルの一部として提供され、特にユーザー数が多くなるにつれて、よりアグレッシブな傾向があります。1,000ユーザーの場合、年間1.5万ドル〜3万ドルを見込むべきです。10,000ユーザーの場合、15万ドル〜30万ドル。50,000ユーザーの場合、70万ドル〜150万ドルになる可能性があります。コストモデルは、Cloudflare One内で選択された機能に大きく依存します。比較する際には、競合他社にネイティブな機能（例：サンドボックス、高度なDLP）を補完するために必要となるサードパーティ統合のコストも考慮に入れる必要があります。

設定スニペットとポリシー例

これらのプラットフォームにおけるポリシーの施行は通常GUI駆動型ですが、基盤となるエンジンを理解することが重要です。以下は、一般的なアプローチを示す簡易的なZIA URLフィルタリングポリシーのスニペットです。

{
  "ruleOrder": 10,
  "name": "Block_High_Risk_Categories",
  "action": "BLOCK",
  "urlCategories": [
    {
      "id": "MALWARE_SITES",
      "name": "マルウェアサイト"
    },
    {
      "id": "PHISHING_FRAUD",
      "name": "フィッシングおよびその他の詐欺"
    },
    {
      "id": "PORNOGRAPHY",
      "name": "ポルノグラフィ"
    }
  ],
  "groups": [
    {
      "id": "ALL",
      "name": "全ユーザー"
    }
  ],
  "validUntil": null,
  "description": "すべてのユーザーに対して危険度の高いカテゴリをブロックします。"
}

このJSONスニペットは、ZscalerのZIA APIがどのようにきめ細やかなURLフィルタリングルールを設定できるかを示しています。実際には、管理者はZIA管理ポータルを使用し、これを直感的なインターフェースに抽象化します。Cisco Umbrellaのポリシーも同様にオブジェクトベースであり、宛先、ID、アプリケーションに対してきめ細やかな制御を可能にします。Cloudflare Gatewayは、ダッシュボードまたはAPIを通じて構成できるルールエンジンを利用しており、ID、アプリケーション、URL、またはネットワークプロトコルの条件を持つファイアウォールルールのように見えます。

TLS検査を展開する場合、これら3つのプラットフォームすべてで慎重な計画が必要です。例えば、Umbrellaで特定の金融ドメインのTLS検査をバイパスするには、「Policies > Manage Policies > [Policy Name] > Settings > Advanced Settings > SSL Decryption」に移動し、バイパスリストに特定のドメインを追加します。Zscalerは、SSL検査ポリシー内でURLカテゴリと特定のドメインの両方に対して同様のきめ細やかなバイパス制御を提供します。

評価

Zscaler ZIAは、絶対的なセキュリティ有効性、完全なインライン検査における最小レイテンシ、および包括的で統合されたCASB/DLPを優先する大企業（1万ユーザー以上）に最適です。そのシングルパスアーキテクチャと成熟した脅威インテリジェンス（ThreatLabZ）は、インターネットに拡張するZero Trust Network Accessのための優れた基盤を提供します。ユーザーあたりのコストはやや高めですが、運用オーバーヘッドの削減と、高度に規制された組織や高価値な組織に対する優れた保護によって正当化されることがよくあります。その深さゆえ、初期学習曲線は急ですが、脅威防止における長期的なメリットが期待できます。

Cisco Umbrellaは、既存のCiscoエコシステム、特にCisco Secure Client (AnyConnect)、Meraki、またはCisco SD-WANを使用する企業に最適です。統一されたエージェントと管理プレーンを活用する統合のストーリーは魅力的です。Umbrellaは、特にDNSレイヤーで堅牢なセキュリティを提供し、SIG Advantageバンドルは強力な機能セットを提供します。絶対的な先端性能や、Zscalerが提供する最もきめ細やかで統合されたDLPスタックを必ずしも必要としない強いエンタープライズグレードのソリューションを求める組織にとって、ベンダー統合を進めるのに優れた選択肢です。

Cloudflare Gatewayは、低TCO、極めて広範なグローバルリーチ（特に小規模ブランチやリモートユーザー向け）、および他のCloudflare Oneサービスとの統合を優先する組織に最適です。そのDNSおよび初期ウェブ要求のパフォーマンスは、大規模なAnycastネットワークにより、最高クラスです。CloudflareのSecure Access Service Edge (SASE)へのアプローチは急速に進化しており、費用対効果の高い価値を提供します。しかし、要求の厳しい複雑なDLP要件を持つ組織や、最も深く成熟したサンドボックス統合を必要とする場合、Cloudflareはサードパーティツールでの補強が必要になる可能性があり、これにより管理が複雑になり、真のTCOが増加する可能性があります。

関連記事

• Zscaler Private Access (ZPA) 2026年版サイジングガイド
• Cisco Catalyst 9300X vs. Aruba CX 6300M: キャンパススイッチ比較
• 2026年のハイブリッドクラウドトラフィックにおけるFortiGate SD-WANパフォーマンス最適化
• Palo Alto Networks Prisma Access: 設計と導入の考慮事項
• クラウドネイティブNGFWソリューションによるAWS VPCの保護