ゼロトラストを導入していたはずのデジタル庁に不正アクセス……原因は導入後の「見えない借金」にあった

ゼロトラスト「導入済み」と「完了」の間にある溝

　コロナ禍を機に、多くの日本企業がVPNの限界にぶつかり、ゼロトラストへ舵を切りました。リモートアクセス基盤の刷新、多要素認証、EDRの導入──ここまではスムーズに進んだ企業が大半でしょう。問題はその先です。筆者が現場で何度も見てきたのは、リモートアクセスの置き換えが終わった時点で経営側はゼロトラスト化が「対応済み」と認識していることでした。

　ここで誤解のないように申し上げておきたいのですが、現場は決して「終わった」とは思っていません。 インフラやセキュリティ担当者と話せば、ほぼ全員が「まだ道半ばです」とおっしゃいます。社内LAN、拠点間WAN、閉域網、データセンターとクラウドの間、IaaS内の仮想ネットワーク──組織の内側を流れる通信が、以前とまったく同じ「社内だから信頼してよい」という前提で動きつづけてしまっていることを、現場はきちんとわかっているのです。

　わかっているのに、なぜ施策が止まるのか。理由は極めてシンプルで、「手をつけたくても、つけられないから」です。内部通信をゼロトラスト化するにはマイクロセグメンテーションが必要ですが、そのポリシーを書くには「誰が、どのサーバーに、どんな業務要件でアクセスしているのか」がわかっていなければなりません。ところが、長年の増改築を重ねた内部ネットワークで、この通信要件を正確に把握できている企業は果たして存在するのでしょうか？

　これらがわからなければ、どこが攻撃表面なのか特定できず、影響度も読めない。下手に絞れば業務が止まる。 だから実装スコープから外さざるを得ない。現場の判断としては、実に合理的です。

　ここで区別しておきたいことがあります。「残っていることはわかる」と「どこに何が残っているかわかる」は、まったく別ものだということです。多くの現場が把握している情報は前者です。問題の棚卸しができないというのは、後者の話。そして、経営層に状況を説明するために必要なのは後者の情報です。

　そしてもう1つ、厄介なことが起こります。現場が「まだ残っています」と伝えようとしても、それを表す言葉がないのです。「マイクロセグメンテーションが未実施です」と伝えても、経営層には何も伝わりません。それがもたらすリスクを定量化することもできず、期限もない。結果、報告書に残るのは「ZTNA（Zero Trust Network Access：ゼロトラストネットワークアクセス）導入完了」の一行だけ。現場の実感と経営の理解の間に、深い溝ができあがります。

　ゼロトラストの原典であるNIST SP 800-207が求めているのは、場所を根拠にした「暗黙的信頼」を捨てて、すべてのアクセスを都度検証することです。この物差しを当てれば、リモートアクセスの置き換えは大事な第一歩ではあっても、全体から見れば一部分でしかありません。まさに「頭隠して尻隠さず」の状態です。

　現場はそれを知っている。経営は知らない。この非対称こそ、日本のゼロトラストが道半ばで止まる最大の構造要因だと当方は考えています。

　では、止まった移行の先には何が残るのか。ここで発想を切り替える必要があります。残るのは未着手のタスクではありません。“借金”です。