「Mythos」提供を追い風にセキュリティ環境を棚卸せよ──CISO向け「ゼロトラスト負債」返済公式

ゼロトラスト負債の残高を求める式は、極めてシンプル

▼前編はコチラ

　ゼロトラスト負債（ZTD）残高の式は、拍子抜けするほど単純です。

　AS-IS期待損失は、今の脆弱性を放置した場合に見込まれる年間の期待損害。返済（net）は、ゼロトラスト実装で実際に減らせた分。その差し引きが、まだ返していない残高です。

　ここで大事なのは、ZTDには2つの顔があることです。ひとつは物量としての残高──未検証の通信経路が何本、期限切れの例外が何件、と数えられる残高です。もうひとつが金額としての表現で、こちらは「その残高を放置した場合に毎年発生する期待損失」、つまり年率にあたります。

　厳密にいえば、後者はストックではなくフローです。それでも「残高」と呼ぶのは、返せば減り、放置すれば増えるという振るまいが、まさに残高のそれだからです。経営会議で「年間コスト」といえば削減対象、「残高」といえば返済計画の対象になる。同じ数字でも、載る議題が変わるのです。

　AS-IS期待損失は、定石どおり「被害額 × 侵害確率」で求めます。被害額は操業停止損失と復旧コストを積みあげ、情報漏えい側は賠償・通知・法務・解約損失に知的財産の価値を加えて別建てにします。

侵害される確率を、計算式に置き換えると……

　問題は確率です。ここを勘で置いた瞬間、モデル全体が信用を失います。当方は3つに割って置いています。

　baseRisk（床）は、ゼロトラストを100％やり切っても残る確率で、3％を置いています。この項がある限り、モデルは「入れれば安全になります」という甘い約束をできません。ゼロを約束しないこと。これが経営に対する誠実さの最低ラインだと考えています。

　riskMax（傾きの上限）は、いちばん無防備な状態のときに床へ上乗せされる最大増分で、30％を置いています。この値はVerizon DBIR／Ponemon──「脆弱な組織」の侵害経験率30～40％の数値のうち、楽観的な数値を置いていきます。

　脆弱性係数（0〜1）が、自社固有の値です。担当者の主観では決めず、CISA Zero Trust Maturity Model v2.0による成熟度評価と、MITRE ATT&CKおよびATLAS（AI攻撃技法）の主要な技法カバレッジ照合（63技法）から逆算します。緩和できていない技法の割合が高いほど係数は1.0に近づき、実装範囲が全社に及んでいなければカバレッジ補正がかかります。「スコープ外に残した暗黙の信頼」は、この補正を通じて残高に反映されます。「導入はしました。ただし本社だけです」という状態は、係数の上では未実装とほとんど区別がつきません。

　この形で置くと、いちばん無防備な状態（係数1.0）の侵害確率は33％、成熟した状態（同0.03）で3.9％と出ます。大事なのは絶対値より、成熟度の変化がちゃんと確率に翻訳される回路があることです。なお、climateFloor／climateSlopeは脅威環境の変化を織り込む係数です。ここにはこだわりがあるため、次ページで詳しく説明します。