ゼロトラストを導入していたはずのデジタル庁に不正アクセス……原因は導入後の「見えない借金」にあった

　「わが社はゼロトラスト導入済みです」──この言葉を、当方はここ7年で数え切れないほど聞いてきました。ゼットスケーラーで250社を超える企業のゼロトラスト実装ワークショップを主導し、日本企業の現場を間近に見てきた立場から申し上げると、この「導入済み」はかなり危うい言葉です。多くの場合、それはリモートアクセスをZTNAに置き換えたという意味であって、ゼロトラストへの移行が終わったという意味ではないからです。では、VPNを使い続けたまま「ゼロトラスト」を名乗るのはどうなのか……。本稿の終盤で、2026年9月に起こったデジタル庁のインシデント事例とともに考えます。本稿では、この「着手済み」と「完了」の間に空いた溝を、当方が個人的に提唱している「ゼロトラスト負債（ZTD：Zero Trust Debt）」という考え方で捉えなおしてみます。なお、本稿の概念とロジックは当方個人の問題提起であり、特定製品に依存しない枠組みとして提示するものです。