予算がついても、製品を入れても止まる――ゼロトラストを止めている「組織摩擦」の正体（1/2 ページ）

　稟議は通しました。増員も認めました。製品も入れました。それなのに四半期ごとの報告に並ぶのは「引き続き推進中」の一行だけで、投資した側から見れば、これほど手応えのない案件もありません。

　止まっている理由を問われた担当部門が最初に口にするのは、おそらく「予算が」と「人が」の2つでしょう。そこで予算を足し、可能であれば人を足してみます。次の四半期に起きるのは、計画表の線が右に伸びること。線を引き直す技術だけは、どの会社も年々上達しているんですよね。

　当方はゼットスケーラーに所属し、250社を超える企業のゼロトラスト実装ワークショップを主導してきました。その会議室で繰り返し目にしてきたのは、予算がついた後も計画がほとんど進まないか、部分的な対策だけで終わってしまう光景です。「ついた予算がまだ足りないだけだ」という反論は、もちろんあり得ます。ただ、それなら足りないぶんだけ遅れるはずで、同じところで止まり続けることの説明にはなりません。

　この連載では、その停滞に「組織摩擦」という名前を付け、測り方と下げ方までを扱います。ここで述べる概念とロジックは個人としての問題提起で、特定の製品に依存しない枠組みです。連載に出てくる会議室の風景や組織の例も、特定の企業のものではなく、複数の現場に共通する型を合成したもの、または架空のものです。

止めているのは、本当に予算と人なのか

　重い荷物を床の上で押しても動かないとき、まず頭に浮かぶのは「力が足りない」ということです。もっと強く押し、それでも駄目なら人を呼びます。予算を積むのが前者、増員が後者にあたります。

　見落とされがちなのが、荷物と床のあいだの摩擦です。止まっている荷物には静止摩擦が働いていて、押す力がある一線（最大静止摩擦力）を超えるまで、荷物は1ミリも動きません。7割の力で押しても7割進むわけではなく、一線を超えるまで、進み方はゼロのままです。

　仮に、予算を2割積み増したのに進捗が2割ぶんも動かなかった会社があったとしましょう。静止摩擦そっくりの振る舞いです。足りなかったのは押す力ではなく、床を見ることだったのかもしれません。

新しい台車を買っても荷物を移さない

　押す力の側から確認しておきます。Gartnerは2024年3月、米国連邦機関の75%が2026年にかけてゼロトラストのセキュリティポリシーの実装に失敗する、という予測を発表しました。同社が挙げた理由は資金と専門人材の不足で、冒頭の「予算が」「人が」とほぼ同じところに落ち着いています。とはいえ米国の、しかも連邦機関についての予測ですから、日本の企業の姿は日本の数字で見ておきましょう。

　NRIセキュアテクノロジーズの「企業における情報セキュリティ実態調査2024」（日本の回答1,481社、2024年7〜9月実施、回答企業の7割は従業員1,000人未満）を見てみます。ゼロトラストを全面的または一部実装していると答えた日本企業は21.1%で、約8割の企業がVPNを「今後も使用を継続予定」と答えています。これだけVPNの脆弱性を突いたインシデントが起きていても、です。2つは別々の設問ですので、ゼロトラスト実装済の企業が、VPNを継続使用するケースが少なからずあると考えられます。当方も、「新しい台車は買ったのに荷物はまだ古い台車の上に載ったまま」という会社を現場で数多く見てきました。

痛い目に遭っても、動かない

　気になるのはその先です。予算と人だけが原因なら、痛い目に遭った組織は、真っ先にそこへ手を打つはずですよね。

　IPA（情報処理推進機構）が2025年5月に公表した中小企業の実態調査（有効回答4,191社）では、2023年度にサイバーインシデントが発生した、または発生した可能性が高いと答えた企業が975社ありました。そのうち、その後に対策の強化に踏み切ったのは13.6%で、残る86.4%は強化していません。中小企業の数字ですし、強化しなかった理由は調査からは分かりません。資金かもしれませんし、人手かもしれません。それでも、痛みだけでは組織が動かないことは読み取れます。押す理由が十分にあっても、荷物は止まったままでした。

　対象を従業員301人以上の企業に移しても、似た段差を示す数字があります。少し古いものの、IPAが2019年10月に調査し2020年3月に公表した「企業のCISO等やセキュリティ対策推進に関する実態調査」（従業員301人以上でCISO等を置く企業が対象）です。経営層が今後セキュリティの会議体で求める情報として、回答534社の54.5%が「インシデントによる想定被害額等の定量的なサイバーリスク評価」を挙げました。ところが、経営層の出る会議体を持つ425社のうち、実際にこの項目が議論されていたのは16.5%でした。

　母数が違うので単純な引き算はできませんし、どちらも企業としての回答で、経営層本人が答えた数字でもありません。同じ調査で「経営層のリスク感度が低い」を課題に挙げた企業は9.7%にとどまり、IPA自身も経営層のリスク認識は高まってきていると評価しています。経営が無関心だという話ではなく、関心はあるのに数字が会議の席まで届いていない段差と読むのが素直でしょう。そして会議は、数字のないまま今月も開かれます。

床は、誰の担当でもない

　この段差が放置されるのは、摩擦が目に見えないからです。部門ごとに分かれた予算、はんこが一周するのに数カ月かかる承認フロー、誰も触りたがらない古いシステム、同業他社の事故を他人事として眺める空気。どれも組織の動きを確実に重くしているのに、どの報告書にも数字として出てきません。先日のITmedia エグゼクティブのインタビューで「『決めないこと』によるコストは、決算書には出てきません」とお話ししたのは、このことでした。

　溝は会議の中だけにあるわけでもありません。IPAの「DX動向2025」（2025年6月公開）では、経営者・IT部門・業務部門の協調が「十分にできている」「まあまあできている」と答えた日本企業は約4割（n=1,532）でした。米国の77.0%（n=509）、ドイツの65.5%（n=537）とは、ずいぶん開きがあります。同じ荷物を押しているつもりでも、押す向きがそろっていると言える会社は、日本では半分に届きません。

　議題にならないものは、別の言葉で説明されることになります。私見ですが、その説明はたいてい2つの型のどちらかに寄ります。担当者の頑張りや現場のスキルが足りないと語る根性論型と、熱心な推進者がいるうちは進み、その人が異動した途端に進捗そのものが誰にも説明できなくなる属人型です。「もっと頑張れ」は伝わっても、何がどこで止まっているのかは、どちらの型でも示されません。

　経営の目には「現場に任せてある案件」と映っているものが、現場にとっては「予算の財布がインフラとセキュリティで別々」「新しいツールの承認に数カ月」「計画の責任者が決まっていない」案件だったりします。その現場でサボっている人は、たいていどこにもいません。全員が持ち場で合理的に動いた結果として、全体が止まっています。荷物を押す担当者は決まっているのに、床の担当者はどこにもいないんです。

変革の停滞を打ち破る！社内を円滑に動かす「組織摩擦」の公式

技術を伴う変革や移行が予算や技術の問題ではなく、「組織の摩擦」によって停滞している企業は少なくありません。本連載では、250社以上の実装を支援してきた筆者が、この目に見えない停滞要因を「組織摩擦係数」として可視化し、変革を阻む壁を打ち破るための具体的なアプローチを全5回にわたって解説します。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「投資」を変えたら経営に響いた　250社超の支援で見えた「ゼロトラスト負債」 - Zscaler 髙岡氏