セキュリティ・パートナーの流儀

「投資」を変えたら経営に響いた　250社超の支援で見えた「ゼロトラスト負債」 - Zscaler 髙岡氏（2/2 ページ）

従来の前提がゼロトラストの障害に

　その姿勢が表れたのが、ある大手製造業のゼロトラスト導入だった。

　顧客から出てきたのは、ゼロトラストを進めたい一方で、従来のIPアドレスを基準にした制御は残したいという、いわゆる境界防御を継続する要望だった。製造現場を止められないという事情があったからだ。

　しかし、ゼロトラストは利用者や端末、場所などを最初から信頼せず、アクセスの都度検証する考え方である。従来の信頼を残したままでは、目指すものと手段が食い違う。

　「それではゼロトラストになりません。『これは運用部門の言い分であって、会社の言い分ではない』というところまで話しました」

　要求どおりに作れば、導入プロジェクトは進む。しかし、ゼロトラストと矛盾する前提を残したままでは、問題は先送りされるだけだ。そこで髙岡氏は、技術要件の議論をいったん止めた。そもそも何のためにゼロトラストへ移行するのか、会社として何を得たいのか。そこから話し直したという。

　髙岡氏は「本当にバトルをしました」と振り返る。最終的には顧客側でも方向性について合意ができ、ゼロトラストへ切り替えていったという。

　同じような場面は、この1社に限らない。技術的に正しい案を示すだけでは組織は動かない。そうした経験から髙岡氏が作ったのが「組織摩擦係数」だ。危機感と変革への意志という2つの軸で組織のタイプを診断し、適切な助言につなげる仕組みである。

ROIではなく、「借金」が刺さった理由

　顧客から寄せられる相談を、髙岡氏は「ゼロトラ迷子」という言葉で表す。

　「ツールだけ入れて満足しているパターンだったり、『入れたから終わり』となっていたり。では、今の成熟度はどうなんですかと聞いても答えられない。そういうお客さんが多いんです」

　製品を導入し、検証が終わったとしても、旧来のVPNや例外的な通信経路、暗黙の信頼が残っていれば、問題がなくなるわけではない。また、部門ごとに担当が分かれたままゼロトラスト移行を進めれば、部門をまたぐ領域が誰の担当でもなくなる恐れもある。加えて、自己申告だけで成熟度を評価すれば、実態より高く見える可能性もあるだろう。

　こうした状態を説明するために髙岡氏が使い始めた言葉が「ゼロトラスト負債」だ。その定義は「部分導入が生む、見えない借金」である。

　この言葉に行き着く前、髙岡氏はセキュリティ投資の必要性を投資対効果（ROI）で説明していた。だが、経営層には響かなかった。

　「ロジックがいかに整っていても、ROIでは突っ込まれるんですよね。たらればじゃないか、本当にそうなるのか、と」

　転機は、経営層との会話だった。部分導入で残ったものを「借金」に例えてみたところ、相手に強く刺さった。そこで見せ方を逆にした。

　「借金、つまり負債と言われると、心情的にも『返済しなければ』という気分になるようですね」

　ここでいう返済とは、対策によってリスクを減らすことである。髙岡氏のモデルでは、負債を4つに分類して考える。すでに返済した分、次に返済できるもの、技術的に排除できない残存リスク、そして同氏が最も注目するのが、技術的には返済できるのに意思決定が進まず止まっているものである。

　1つの製品を入れたかどうかだけでは、ゼロトラストの進み具合を説明できない。何が、なぜ残っているのか、次に何を変えるべきなのか。それを考え、言葉にすることが髙岡氏のいう「返済」の出発点なのだ。

ゼロトラスト移行の過程を守る能動的防御

　もっとも、ゼロトラストへの移行には1〜2年かかる。当然、その間にも攻撃側は待ってくれない。髙岡氏によると、攻撃の各段階が複数のAIエージェントによって自動化され、侵入から目的の達成までにかかる時間が短くなっているという。

　「極論を言えば、今このタイミングでやられた瞬間に詰んでしまう。ではどうするのか、という話です」

　そこで髙岡氏が現在、選択肢の1つとして注目しているのが「デセプション」と呼ばれる能動的防御だ。実際の業務には使わないダミーのサーバや認証情報など、攻撃者にとって本物に見えるおとりを置き、それに触れた時点で侵入を検知する。侵入を完全に防ぐのではなく、入ってくることを前提にして待ち構える考え方だ。

　むろん、デセプションがゼロトラストの代わりになるわけではない。長期的なゼロトラスト移行を進めながら、その過程をどう守るか、という話なのだ。

決算書に出てこない、「決めないこと」のコスト

　技術的には対処できるのに、意思決定が進まず止まったままの負債がある。では、経営層には何が求められるのか。

　髙岡氏がまず挙げるのは、経営だけ、あるいは現場だけで決めないことだ。自社のリスクは経営層自身が判断し、分からない領域では信頼できる有識者の知見を借りる。そのうえで、部門をまたいで判断する。ここで同氏が持ち出すのが、観察(Observe)、状況判断(Orient)、意思決定(Decide)、行動(Act)を短い周期で繰り返すOODAというフレームワークだ。

　組織摩擦があれば、そこで意思決定は止まる。経営と現場のどちらか一方では、判断が前に進まない。だから両者を横につなぎ、その全体で判断を繰り返す。

　「横連携でOODAを回さない限りは、組織として脅威に勝てないのです」

　運用、インフラ、セキュリティ、認証、アプリケーション、データ、AIと、ゼロトラストに関わる領域は広い。どこか1つでも従来のやり方が残れば、移行はそこで止まる。そうならないためには、計画を守ること自体を目的にせず、状況の変化に応じて前提を見直す柔軟性も必要になる。

　そこで重要なのが、現場で何が起きているかを知っていることだ。髙岡氏自身、2026年5月からプロダクトマーケティングを担いながら、顧客とのワークショップにも関わり続けている。顧客と直接やり取りせずにプランを立てれば、実態とのギャップが広がるからだ。相手が何を考え、何に困っているのかは、現場でしか得られないという。

　自ら現場に立ち続けているからこそ、経営層への注文もはっきりしている。

　「『決めないこと』によるコストは、決算書には出てきません。経営層に今求められるのは、スピード感です。投資判断の速さが、今まで以上に問われる時代だと思っています」

　25年のキャリアで扱う技術が変わり続けても、「正しいものを正しく伝えたい」という判断基準は変わらない。それこそが、髙岡氏の流儀なのだ。

セキュリティ・パートナーの流儀

高度化・巧妙化するサイバー攻撃に対抗するには、最新のテクノロジー導入だけでは不十分であり、それを支える高度な専門知見を持った「パートナー」の存在が不可欠です。優れたソリューションの背後にいるプロフェッショナルたちは、どのような想いで顧客に寄り添っているのか。本連載では、第一線で活躍するパートナー個人に焦点を当てて紹介します。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「迷ったら前へ！」ホワイトハウスにも突撃するCISO - NTT横浜氏

• 

  「AIは活かすが任せきらない意識が大切」 - イー・ガーディアンCISO徳丸氏

• 

  「技術を知らなければ、適切なリスクは取れない」　マネーフォワードCISO　松久氏

• 

  「CISOの役割は、緩める責任を負うこと」-freee CISO 茂岩氏

• 

  「人に配慮した、厳しくも前向きなセキュリティ環境づくり」 - ライフネット生命 竹山氏

• 

  子供の夢をYouTuberからホワイトハッカーに! 具現化を進めるCISO - GMO 牧田氏

• 

  絵画の傾きを皆で調整するな! 鳥瞰力で推進するリーダー - 村田製作所 楠本氏

• 

  勇者に最適な武器を! 世界に羽ばたく日本企業を生み出す - Cloudbase 岩佐氏

• 

  公共交通インフラの使命を軸に、事業継続への攻めと守りを大胆に実行する - JAL 鈴木氏

• 

  「仕方ないインシデント」まで全力を尽くせるか - さくらインターネット 江草氏

• 

  「進まざる者は必ず退く」、現状維持は大きなリスク - みずほFG CISO 寺井氏