解説
ゼロトラスト導入が止まる理由は「組織摩擦」 予算でも人員でもない正体
ゼロトラストの予算を通し、人員も増やしたのに、進捗が四半期ごとに「推進中」のまま止まっている会社は少なくありません。ITmediaエグゼクティブに掲載された連載の初回は、その停滞を「組織摩擦」という言葉で説明し、予算や人員とは別の壁の存在を指摘しました。経営判断の軸を「いくら投じたか」から「どこで止まっているか」に移す材料になります。
何が起きたか
ITmediaエグゼクティブが、ゼロトラスト導入が止まる要因を扱う連載の第1回を公開しました。筆者はゼットスケーラーに所属し、250社を超える企業のゼロトラスト実装ワークショップを主導してきた人物です。記事は、稟議が通り、増員も認められ、製品も導入済みなのに、四半期報告に「引き続き推進中」としか書けない企業が珍しくない、という状況から書き起こされています。
記事が紹介した調査データも具体的です。NRIセキュアテクノロジーズの「企業における情報セキュリティ実態調査2024」（日本の回答1,481社）では、ゼロトラストを全面的または一部実装済みと答えた企業は21.1%にとどまり、約8割がVPNの使用を今後も継続すると答えました。IPAが2025年5月に公表した中小企業調査（有効回答4,191社）では、2023年度にサイバーインシデントが発生または発生した可能性が高いと答えた975社のうち、対策を強化したのは13.6%にとどまっています。IPAの「DX動向2025」では、経営・IT部門・業務部門の協調が十分にできていると答えた日本企業は約4割で、米国の77.0%、ドイツの65.5%を下回りました。
背景・解説
記事が提案する「組織摩擦」という言葉は、物理の静止摩擦からの比喩です。床に置かれた重い荷物は、押す力がある一定の値（最大静止摩擦力）を超えるまでは、どれだけ力を強めても1ミリも動きません。7割の力で押しても7割進むわけではなく、一線を超えるまで進み方はゼロのままだという例えを使い、予算や人員という「押す力」を増やしても計画が進まない企業の状態を説明しています。
ゼロトラストとは、社内ネットワークの内側だからといって無条件に信頼せず、アクセスのたびに検証を行う考え方を指す用語です。記事は、その導入が「製品を入れる」段階で止まり、全社の運用に広がらない企業が多いと指摘しました。背景としてGartnerが2024年3月に発表した予測も紹介されており、米国連邦機関の75%が2026年までにゼロトラストのポリシー実装に失敗するとし、理由を資金と専門人材の不足としています。筆者は、この「予算と人」という説明だけでは、同じ箇所で計画が止まり続ける理由を説明できないと述べました。
記事は摩擦が見えない理由も挙げています。インフラとセキュリティで別会計になっている予算、新しいツールの承認に数カ月かかる稟議フロー、担当者が決まっていない古いシステム、同業他社の事故を他人事として受け止める空気です。IPAが2020年3月に公表した調査（従業員301人以上の534社）では、経営層が今後求める情報として「インシデントによる想定被害額等の定量的なサイバーリスク評価」を挙げた企業が54.5%あった一方、実際にこの項目が経営層の会議体で議論されていたのは16.5%にとどまりました。数字が会議の場まで届いていない、という段差がそこにあります。
仕事や業務への影響 — AI Topicaの見方
ゼロトラストの投資対効果を四半期ごとの「進捗率」でしか追っていない会社ほど、この記事が指す摩擦に足を取られています。予算や人員の数字だけを積み増しても、承認フローや予算区分という見えない抵抗が残っていれば、計画は同じ場所で止まり続けます。経営側が確認すべきは「いくら積んだか」ではなく、「どこで止まっているか」です。
例えば、従業員800人の製造業で、情報システム部とセキュリティ推進室の予算区分が別会計になっている会社を想定します。新しいアクセス制御ツールの導入申請は情報システム部長の決裁後にセキュリティ推進室の承認を経る必要があり、書類の往復だけで数カ月かかります。この間、現場の担当者ひとりが差し戻された申請書を書き直す作業に追われ、四半期の進捗会議では「審査待ち」としか報告できません。予算は確保済みで人員も足りているのに、計画表の線だけが右に伸びていきます。
経営層がすべきことは、現場に「頑張れ」と伝えるだけでは足りません。承認フローにかかった月数、予算が分かれている部門の数、リスク評価の数字が経営会議の議題に上がった回数など、摩擦そのものを数える仕組みを用意すべきです。情報システム部長が1人で抱えている進捗説明を、経営会議の定例議題に組み込むだけでも、どこで時間が消えているかは見えてきます。数字を会議の席まで運ぶ役割を誰かに割り当てないままでは、同じ報告が来期も続きます。
不確かな点・注意
この記事はゼットスケーラー所属の筆者による個人の問題提起であり、特定の製品に依存しない枠組みだと明記されています。記事中の会議室の風景や組織の例も、複数の現場を合成した、または架空の例だとされています。
引用された調査は母集団がそろっていません。NRIセキュアの調査は従業員1,000人未満が7割を占める日本企業1,481社、IPAの2025年調査は中小企業4,191社、「DX動向2025」の協調度は回答企業1,532社で、規模や属性の異なる数字を並べたものです。中小企業がインシデント後に対策を強化しなかった理由も、調査からは分かっていません。
Gartnerの予測は米国連邦機関を対象にしたもので、日本の民間企業にそのまま当てはまる数字ではありません。記事は「組織摩擦係数」という測定方法を連載の今後の回で扱うとしていますが、第1回の時点では測り方そのものはまだ示されていませんでした。