「社内ネットワークの中にいるから安全」
「社員が使うPCだから信頼できる」
いまだにこんな寝言を信じている情シスや経営者がいるなら、今すぐその役職を降りたほうがいい。社内LANという生ぬるい結界の内側にいれば無条件でアクセスを許す「境界型セキュリティ」は、とっくの昔に死に絶えた。
ゼロトラストの本質とは何か。それは「社内だろうが社外だろうが、役員だろうが平社員だろうが、通信のすべてを悪意ある侵入者として冷酷に疑い続ける」という、極めて人間不信に満ちたアーキテクチャだ。
だが、世間のバズワードに踊らされたゼロトラスト信仰もまた、別の形で現場を地獄へと叩き落としている。VPNを全面否定してGoogleの真似事を始めたり、過剰な認証縛りで現場の生産性を破壊したりする愚行だ。完璧な防御など存在しない。重要なのは、身の丈に合った現実的な防壁と、「突破された後に原因を追究できる痕跡」を残すことである。
崩壊した社内LAN神話と、Google型ゼロトラストへの危険な盲信
従来の境界型防御は、中世の城郭都市と同じ思想だった。外敵を防ぐ分厚い城壁（ファイアウォール）を築き、跳ね橋（VPN）を渡って城内に入った人間はすべて「味方」としてフリーパスを与える。
しかし、標的型フィッシングメール一発で社員のPCがマルウェアに感染した瞬間、その前提は崩壊する。城内に侵入した敵は、なんの制約もなく横移動（ラテラルムーブメント）を繰り返し、ファイルサーバから顧客情報まで食い散らかしていく。
そこで台頭したのが「ゼロトラスト（何も信用するな、すべて検証せよ）」だ。社内LANという概念を消し去り、すべての端末、すべてのユーザー、すべてのリクエストを毎回検証する。
だが、ここでIT業界特有の「盲信」が発動する。
- Google「BeyondCorp」の劣化コピー：Googleのような潤沢な資金と軍隊並みのエンジニア部隊を抱えるメガテックが構築したゼロトラスト基盤を、そのまま自社に持ち込もうとする浅薄さ。
- 「VPNは悪、ゼロトラストSaaSを入れれば解決」という思考停止：高額なIDaaSやEDR（Endpoint Detection and Response）を言われるがままに契約し、運用しきれずに設定不備で穴だらけにする情シスの怠慢。
巨人の真似をして自爆する前に、自分たちが守るべき境界のサイズを見極める必要がある。
「うちは小さい会社だから狙われない」という致命的な勘違い
ゼロトラスト導入の議論になると、必ず中小零細企業の経営陣から出るセリフがある。「うちは大企業じゃないし、機密情報もないからハッカーに狙われるわけがない」。
この世のサイバー攻撃の仕組みを何も分かっていない。
現代の攻撃者は、あなたの会社の社名を見て標的を選んでいるのではない。インターネット全体をポートスキャンし、脆弱なVPN機器や放置されたリモートデスクトップ（RDP）をプログラムで絨毯爆撃のように探索しているだけだ。
さらに、大手企業へ侵入するための「踏み台」として、セキュリティの甘い中小取引先を狙うサプライチェーン攻撃が主流になっている。規模が小さいことは、狙われない理由にはならない。「守りがザルだから格好の餌食になる」という現実を直視しなければならない。
二段階認証・SSOの過剰装備が招く「現場のサボタージュ」
セキュリティ対策を講じる際、現場が見落としがちなのが「ユーザービリティとの摩擦」だ。
安全性を高めようとするあまり、画面遷移ごとに多要素認証（MFA）を要求し、複雑怪奇なシングルサインオン（SSO）を強制し、パスワードの定期変更を強要する。こうした「やりすぎた防御」は、ほぼ確実に仇となって返ってくる。
- 認証疲れ（MFA Fatigue）：ひっきりなしにスマホに届く認証通知に麻痺し、攻撃者が送り込んできた不正なプッシュ通知を反射的に「承認」してしまう。
- 現場のシャドーIT化：セキュリティが厳しすぎて仕事が進まないため、社員が勝手に私物のPCや個人用クラウドストレージに業務データを退避させ始める。
- 付箋パスワードの逆戻り：複雑なパスワード入力を頻繁に求められた結果、ディスプレイの枠に平文でパスワードを書いた付箋が貼られる。
完璧を求めてガチガチに縛り上げた結果、人間の心理的限界を超えてセキュリティホールを自ら生み出す。これほど滑稽な本末転倒はない。
現実解：最低限のIP制限＋オーセンティケーター＋堅牢なID/PW
では、資本もリソースも限られた現場で何をすべきなのか。数千万円のゼロトラストソリューションを買い漁る必要はない。基本の徹底で、攻撃の9割以上は物理的に回避できる。
- 固定IP制限による管理画面の遮断：管理画面や機密エリアは、オフィスの固定IP、または特定の踏み台サーバからしかアクセスできないようにネットワークレベルで絞り込む。これだけで世界中からの機械的スキャンをほぼ無力化できる。
- オーセンティケーター（TOTP）による二段階認証：SMS認証のようなSIMスワップに弱い方式を捨て、Google Authenticatorなどのワンタイムパスワードアプリを必須化する。
- 推測不能なID/PWの徹底：パスワードマネージャーの利用を義務付け、使い回しを完全に排除する。
魔法のツールに頼るのではなく、この「退屈で堅牢な3点セット」を愚直に運用するだけで、野良の攻撃者は「攻略コストが見合わない」と判断して別の獲物へ去っていく。
完璧な防御は不可能：「突破された後に原因を追究できるログ」を残せ
どんなに巨額の予算を投じようと、侵入を100%防ぐシステムなどこの世に存在しない。人間のミス、ゼロデイ脆弱性、内部不正によって、防壁はいつか必ず突破される。
重要なのは、「突破されないこと」を目標にするのではなく、「突破された際に、誰が、いつ、どの経路で侵入し、何を盗み出していったのかを完全に追跡できる仕組み」を作っておくことだ。
- アクセスログの集中管理：サーバやアプリのログを同一マシン内に放置せず、外部のログ専用ストレージ（改ざん不能な設定）へリアルタイム転送する。侵入者が足跡を消すために
rm -rf /var/logを叩いても、手元に証拠を残す。 - 認証ログ・監査ログの保全：誰がどのIPからログインに成功し、あるいは何回失敗したのか。特権アカウントがいつ権限を行使したのかを記録し続ける。
事故が起きたときに「侵入された原因も、被害の全容も分かりません」と記者会見で頭を下げる企業と、「○日○時、この経路から侵入されたが、ログの追跡により影響範囲は特定ユーザーのこのデータに限定されている」と即座に公表できる企業。
その明暗を分けるのは、見栄えのいいゼロトラストの看板ではなく、裏側で淡々と刻まれ続ける「冷酷なログ」の存在なのである。完璧を目指すな。突破された瞬間から逆算して、証拠を揃えるアーキテクチャを組め。
