「Mythos」提供を追い風にセキュリティ環境を棚卸せよ──CISO向け「ゼロトラスト負債」返済公式

数値の可視化＝返済ではない　強制適用してはじめて計上される

　以下は、架空データによるシミュレーションです。

　はじき出された数字がこちらです。

　返済が12.5%（6.00億円）にとどまるのは、ZTNA化が効いていないからではありません。返せたのが南北方向（リモートアクセス）だけだからです。量として大きい東西（LAN、WANなどの拠点間通信）は、まだ手つかずです。

　この会社が直視すべきなのは、42億円という残高そのものではありません。技術的には返せるのに、1円も動いていない24.24億円のほうです。残高の6割近くが、製品でも予算でもなく、組織の意思決定の滞りで塩漬けになっている。これを数値化できることが、組織摩擦係数の最大の意義だと考えています。

　Forg係数を高低に振ると、摩擦が高いほどSTALLED比率は増えていきます。摩擦の高い組織では、いくら技術投資を積み増しても残高が動きません。

　またもう1つ、いちばん誤解を招きがちな点が「可視化＝返済ではない」という点です。負債の各項目は、以下の順路をたどります。

　このうち返済が計上されるのは、ENFORCEDに移った瞬間だけです。ただし、可視化に価値がないという話ではありません。可視化は返済の必要条件です。見えていないものにポリシーは書けません。ただし十分条件ではない。ダッシュボードで通信が全部見えるようになっても、それは棚卸しが済んだだけで、残高は1円も減っていません。ATMで残高照会を何度しても、借金が減らないのと同じです。

　技術的にはENFORCEDにできるのに組織の事情で止まっている項目──これがSTALLEDの正体です。「可視化率90％達成」の報告が経営を安心させているものの、残高はぴくりとも動いていないのです。

　なお、毎期の報告時は、信頼の残量を測る以下3つの比率を見ることをおすすめします。

　いずれも件数と比率、つまり物量の指標です。金額の残高と並べれば、「今期、信頼の総量をどれだけ返せたか」が経営との共通言語になります。