「Mythos」提供を追い風にセキュリティ環境を棚卸せよ──CISO向け「ゼロトラスト負債」返済公式

脅威環境の係数に、「未来予測」は使わない

　前編で、放置されたZTDは「返済を先送りできる時間が短くなる」と書きました。では、その圧力を金額に上乗せすべきか。当方の答えは「ノー」です。

　侵入から次の攻撃者へ引き渡されるまでの中央値は22秒（Mandiant M-Trends 2026）。脆弱性悪用による初期アクセスは31％に達し、同統計史上はじめて認証情報の窃取を追い抜きました（Verizon DBIR 2026）。かたやパッチ適用の中央値は43日に延び、CISA KEV（既知の悪用脆弱性）の修復完了率は38％から26％へ落ちています。

　ところが同じ一次データでは、ランサムウェアの暗号化成功率は70％から50％へ下がり、1週間以内に復旧できた組織は35％から53％へ増えました。M-Trends 2026は、2025年に起こった侵害の大半がAIを直接の原因とせず、主因はいまも人的・組織的要因であると結論づけています。

　つまり、元本が急に膨らんだわけではありません。変わったのは、先送りが許される時間のほうです。ここを混ぜて将来予測を金額に上乗せしたら、それは形を変えた脅し文句です。

　ですから当方は、脅威環境の係数についてルールを1つ決めています。「今日時点でわかっていること」だけを使い、将来こうなるはずだという予想は入れないことです。前編でも触れたとおり、この借金に利息はつきません。ある日いきなり差し押さえに来るだけです。

　ただし、元本のほうは放っておいても増えます。クラウドの拡張、AIエージェント、PQC移行の未棚卸し──返済しないまま、新しい信頼が積み増されていくからです。四半期ごとに再計測すれば、増えた分はその時点のAS-IS期待損失として自然に現れます。質的な圧力は、確率の床と傾きにだけ反映させる。金額の膨張は語りません。

残高を3つの財布に分ける　ここで組織が顔を出す

　ZTD残高は、きれいに3つへ振り分けられます。

　平たくいえば、「返せるお金」「返せるのに返していないお金」「そもそも返せないお金」の3つです。前編では負債を4つの項目に分けました。4項目は「何が負債なのか」という物量の内訳、3つの財布は「なぜ返せていないのか」という金額の内訳です。すでに返した分（返済net）を加えれば、AS-IS期待損失はきれいに4つへ分かれます（図1）。

　不可避床は、baseRisk項に由来する、全部やり切っても消えない残りカスです。返済対象外として最初によけておきます。残りを「これから手をつけられる残高」と呼び、これを二分するのが組織摩擦係数（Forg）です。当方は、組織の摩擦を以下のように定義しています。

　掛け算は意図的です。縦割り（サイロ化）とレガシーが揃うと摩擦は跳ね上がり、危機感と変革の旗振り役が揃ってはじめて物事は動く。片方だけでは、悲しいくらい効果を発揮しません。このFを使って、手をつけられる残高をSTALLED＝残高×F、返済可能残高＝残高×（1−F）に割ります。STALLEDとは、技術的には返せるのに、組織の意思決定が止まっているせいで残っているお金です。技術部門は「対策すれば減らせます」と語り、経営は「ではなぜ減っていないのか」と問う。どちらも間違っていません。2者間に挟まれているのがSTALLEDです。