Zero Trust (概念)

Zero Trustの本格導入には、ID基盤・エンドポイント管理・ネットワーク制御・ログ分析の各領域に対して継続的な投資が必要です。製品ライセンス費用だけでなく、導入コンサルティング・社内教育・運用体制の整備コストが相当な比重を占めます。目安として、初期構築だけで数千万円、年間運用コストで数千万〜1億円以上になるケースが多く見られます。

従業員500名未満・年間売上50億円未満の規模では、専任のセキュリティ担当者を置くこと自体が難しく、Zero Trust推進のための社内リソースが不足しがちです。この規模ではMDR（マネージドディテクション＆レスポンス）サービスやMSSPを活用した「Zero Trust的な運用の外部委託」が現実解となることが多いです。

従業員500〜2,000名・年間売上50〜500億円規模になると、専任担当者の設置とSaaSベースのゼロトラストソリューション（Microsoft Entra IDやOktaを軸にしたアーキテクチャ等）を組み合わせた段階的導入が実行可能になります。2,000名以上・年間売上500億円以上の大企業では、SASE・SIEM・XDRを組み合わせたフルアーキテクチャへの投資対効果が明確に出てきます。

Zero Trustの概念は、2010年に当時Forrester ResearchのアナリストだったJohn Kindervagが提唱した「Zero Trust Model」が起源とされています。Kindervagは「信頼は脆弱性である（Trust is a vulnerability）」という主張のもと、企業ネットワーク内部のトラフィックも外部と同様に検証すべきとする考え方を提示しました。2014年にGoogleが社内プロジェクト「BeyondCorp」として実装を公開したことで概念の実現可能性が広まり、2019〜2020年にはNISTがSP800-207としてZero Trustアーキテクチャの標準的定義を公表。2021年にはバイデン政権が大統領令でゼロトラスト移行を連邦政府機関に義務付けたことが世界的な普及加速の契機となりました。

日本では、2020年のコロナ禍によるテレワーク急拡大と、大手製造業や病院を標的にした相次ぐランサムウェア被害が、経営層がZero Trustを本格議題に取り上げる直接の契機となりました。経済産業省は2022年に「ゼロトラスト移行のすゝめ」を公表し、政府主導での普及促進が始まりました。国内ではNTTデータ・富士通・NRI・NTTコミュニケーションズといった大手SIerがZero Trustコンサルティング・導入支援サービスを展開するとともに、Okta・Zscaler・Microsoft・Palo Alto Networksなど海外ベンダーの日本法人が大企業向けの直販・パートナー販売を強化しています。日本特有の課題として、オンプレミス資産の多さ・老朽化したActive Directory依存・ベンダーロックインへの懸念・担当者のスキル不足が、導入スピードの遅さにつながっています。