「Mythos」提供を追い風にセキュリティ環境を棚卸せよ──CISO向け「ゼロトラスト負債」返済公式

返済計画　全社一斉はやめて「1本の経路」から

　最後に、返済の順序を説明します。全社一斉の返済は、全社一斉の導入と同じ理由で必ず頓挫します。当方がおすすめするのは、24ヵ月・3フェーズの構成です。

Phase 1（0〜6ヵ月）基盤：最初の一手は「1本の経路」

　重要業務×重要データ×主要委託先が交わるアクセス経路をひとつだけ選び、そこに限って説明可能アクセス比率100％を達成します。人・端末・SaaS・権限・例外・承認者・期限を棚卸しし、外部公開面（VPNなど）の縮退にも着手。前ページ最後で説明した3つのKPIのベースラインを取ります。

Phase 2（6〜12ヵ月）拡張：最大の借金である東西通信を返す

　アプリケーション単位のセグメンテーションで、内部通信もセッション単位で検証・認可する状態へ移します。NIST SP 800-207の原則「すべての通信を保護する」ことへの適合が、返済の本丸です。いきなり遮断せず通信を可視化・学習させ、業務要件が判明したものから順にポリシーを定義する。委託先・SIer接続の契約根拠も並行して棚卸しをしましょう。日本企業の借金の相当部分は、サプライチェーンの契約構造に埋め込まれています。

Phase 3（12〜24ヵ月）最適化：返済を「仕組み」に変える

　すべての例外に期限・承認者・業務根拠を付けて、期限を過ぎたら自動失効させます。四半期の残高レビューを経営会議の定例に組み込み、新規システム導入時の「負債計上審査」を制度にする。目指す地点は、AIやツールが止まった日にも、組織が「誰が・何に・なぜ・いつまでに」行うのか自分の口で説明できる状態です。