相次ぐ情報漏えい事案と政府からの号令を整理　AI脅威に対抗するゼロトラストセキュリティのシン常識

ゼロトラストの新しい前提　「完成度」を目標にしない

　JIPDECの『企業IT利活用動向調査2026』では、「SASE／CASB／SWG／ZTNA」をまとめた区分の導入済み組織が28.7％（n=1,107・2026年1月調査）でした。JUASの『企業IT動向調査報告書2026』では、「ゼロトラストセキュリティ」の導入済み企業が18.5％（n=952社・2025年9〜10月調査）。なお、それぞれの調査における定義が違うため、単に並べて比較することはできません。

　7年に渡り日本企業のゼロトラスト移行に携わってきた当方の見立てでは、日本のゼロトラストはまだ負債だらけの未成熟な段階にあります。目的が曖昧で、ツール導入が先行し、名ばかりの「導入済み」の裏で、例外の経路や古い入口が台帳の外に残りつづけています。直近で執筆した連載「見えない借金『ゼロトラスト負債』を返済せよ」では、その残高を数え、返す考え方を述べてきました。

　だからこそ、今から「完成度」を目標に置くのは悪手だと、当方は考えています。完成までには時間がかかります。その間にも、マシンスピードの侵入──負債の取り立て──はやって来ます。すべての通用口を塞ぎ終えるまで、見張りを置かずに待つ理由はありません。返済が終わる前に、取り立てが追いつくからです。

　当方の考える順番はこうです。

　まず、能動的防御としてデセプションを打ちます。おとりに触れたという確度の高い信号を起点に、事前に承認した自動の封じ込めを動かします。そのうえで、段階的なゼロトラストの道を進みます。負債の、計画的で継続的な返済です。

　なお、ここでいう能動的防御は、自社の環境の中で攻撃者を見つけて止める手法のことです。国が攻撃元のサーバー等にアクセスして無害化する措置を含む、政府の「能動的サイバー防御」とは別物です。

　自動の封じ込めの仕組み自体は、以前からありました。定着しなかったのは、「脅威が侵入してきてもEDRで止めればいい」という、EDRに対する絶対的な信頼があったからだと当方は見ています。米CISAなどの注意喚起でも、一部の事例で、ランサムウェアの攻撃者がEDRを停止・削除する手口が報告されています。EDRが見えるのは主に端末の中で、VPN機器などエージェントを置けない機器は見えにくい。また、誤検知のある警報に自動遮断をつなげば、業務が止まります。確度の高い信号があって初めて、経営は事前承認に踏み切れます。

　これを踏まえて、当方が皆さんに提案したい段取りは以下のとおりです。

　隠す範囲が広がるほど、おとりを並べる範囲と封じ込めの範囲も広がります。返済が進むほど、おとりという保険も厚くなる関係です。意外と認識されていない負債は、何よりも「社内ネットワークへの信頼」です。一度入りこまれたら、容易に重要資産に到達できてしまうことが問題です。内部通信にも、ゼロトラストを適用すべきなのです。

　決めるのは、どの兆候で、何を、どこまで自動で止めてよいか。止めた後に、誰がどう戻すか。事前承認がなければ、鳴った瞬間から承認待ちです。夜間や休日の決裁は、マシンスピードに間に合いません。

　おとりの置き場所は、重要なデータの近く、管理者のアカウントまわり、委託先の接続の先から。データベースから直接持ち出す型には、会員データベースなどに本物に見えるおとりの記録を混ぜておけば、持ち出しに気づく手がかりになります。

　ただし、留意点が3つあります。1つ目に、デセプションは侵入対策を置き換えません。検知と封じ込めの層です。今回の事案で目立った、公開しているサービスの脆弱性や仕様の不備には、修正を当てるまでの日数に上限を置き、公開前に認可とAPIの検査を通す運用が引き続き必要です。この修正の運用は、デセプションと並行して続けてください。

　2つ目に、封じ込めの範囲を事前に決めること。どのIDや端末を、誰の承認もなく止めてよいか。業務への影響と復旧の手順を先に定義しておくことが、経営が事前承認を許す条件です。社内の検査や試験のように想定できる誤検知も、先に洗い出しておく必要があります。

　3つ目に、不特定多数に公開するWebやAPIは、隠す対象になりません。WAFやAPIゲートウェイなど、別のレイヤーと組み合わせることが前提です。

　今期、経営層に決めていただきたいのは、デセプションをどこから置くか、デコイが鳴ったときにどこまで自動で止めてよいかの事前承認、そして修正の期限と隠す範囲を年ごとに引く返済計画です。どれも、製品を選ぶ前に決められることです。

　ゼロトラストの返済計画は、台帳から始まります。どの入口が開いていて、どの修正が期限を過ぎ、どの委託先の接続が誰の管理にもないか。台帳に載せて初めて、返す順番が決まります。

　ゼロトラストの定義は変わっていません。変わったのは、前提なのです。