ゼロトラスト、『空念仏』にしないために

金融業界でハッキング被害が全体に拡大する中、先月14日、金融当局は銀行・貯蓄銀行など16社の侵害事故を確認したと発表した。これらの事故で計約10万件の情報が流出したと把握された。その後には、Daishin証券の顧客情報流出の事実も追加で明らかになった。

金融当局は解決策としてゼロトラストを強調した。金融業界を対象に、セキュリティ体制をゼロトラスト原則ベースへ転換するよう求めた。ゼロトラスト原則とは、決して信頼せず、常に検証せよという内容である。

今回の対応構図は、昨年の国内ハッキング事故当時と似た様相である。当時は通信会社・電子商取引企業がハッキング被害を受けた。その時もゼロトラストが改善策として共通して強調され、一部企業は事故を反面教師としてゼロトラスト基盤のセキュリティ体制を整えると約束した。

今年は金融業界で事故が再発した。今回の事故の原因としては、外部攻撃面の管理失敗と認証・認可管理の不備が指摘された。2つの問題はいずれも以前から指摘されていた事項であり、ゼロトラストが強調されてきたにもかかわらず、基本的なセキュリティ統制の崩壊が再び現れた。

このようにゼロトラスト導入の要求が一回限りのスローガンに流れる背景には、実行基盤の不足があるとの指摘が出ている。企業にはゼロトラスト順守の義務がなく、どの制度でもゼロトラスト順守を求めていない。企業が自主的にセキュリティを強化しても目に見える成果・便益がなく、セキュリティを費用ではなく投資と見る認識の説得力も弱まっている。さらに、ゼロトラストを推進する意思があってもどこから始めるかを決めにくく、どの水準をゼロトラストとみなすかについての合意された基準も不足している。

こうした現場の認識は、本紙が9月に開催した『2026 情報保護ソリューションカンファレンス』参加者を対象とした調査でも確認された。回答者94人のうち39人、割合では41.5%に当たる調査回答者39人(41.5%)が、ゼロトラスト実装の最大の難しさとしてガイドラインと参考事例の不足を挙げた。

ゼロトラスト定着の必要条件としては政府支援が示される。政府は2023年、『情報保護産業のグローバル競争力確保戦略』を通じて、2027年までにゼロトラストの全面拡散を誘導する方針を発表した。しかし、目標時点が迫る現時点で約束履行の可否は不透明である。基準の役割を果たすガイドラインは2024年に発表された2.0版以降停滞しており、3年にわたり続いた試行事業は予算が縮小された。

ゼロトラスト拡散の程度を把握する体制も不十分である。科学技術情報通信部は国会立法調査処に提出した資料で、拡散事業の成果管理指標として『試験適用支援件数』を用いた。しかし、実際にセキュリティ体制を転換した企業数を把握するための実態調査は存在しない状態である。このため、支援件数中心の管理だけでは実際の転換水準を確認しにくい。

後続制度も進展を見せていない。昨年末には、ゼロトラスト義務化の核心とされる情報通信網法改正案が発議されたが、その後は進展がなかった。公共調達での優遇もなく、税制支援もない状況である。このように法改正と調達優遇、税制支援が伴わないため、ゼロトラストを代案として示した主張には実質性が乏しいとの評価が出ている。

ゼロトラスト規定は大げさなサイバーセキュリティ戦略ではなく、ゼロトラストの性格は見落としやすい小さな点まで再点検せよという警告といえる。ゼロトラストの地位は新たな基本であり、導入を強調するだけでは足りない。現実化のための基盤構築が必要である。

事故が起きるたびに同じ代案が繰り返し提示されているが、実行条件の変化はない。実行条件がそのままであれば、結果の変化を期待しにくい。したがって、ゼロトラスト現実化のための制度の再整備と、ゼロトラスト現実化のための支援の再整備が必要である。宣言と実行の間の空白が解消されなければ、ゼロトラストは空念仏になりかねず、ハッキング後に同じスローガンが繰り返される恐れがある。

出典：IT DAILY · キム・ホジュン 原文：https://www.itdaily.kr/news/articleView.html?idxno=242658

参考資料

• https://www.itdaily.kr/news/articleView.html?idxno=242658