トヨタの数年をかけたゼロトラスト改革、行く手を阻んだ最大の壁とは？：流行に乗るのは危険？

生成AIによってサイバー攻撃は、人の速度で対処できる時代ではなくなった。とはいえゼロトラストやSASEを導入すれば解決するわけでもない。トヨタ自動車が4年以上かけて進めた“脱境界防御”改革を基に、AI時代のサイバーレジリエンスに必要な考え方を語った。

[田渕聖人，＠IT]

　フォーティネットジャパンは2026年7月10日、年次イベント「Fortinet Accelerate Japan 2026」を開催した。基調講演ではトヨタ自動車の寺澤知昭氏（情報セキュリティ・トラスト部長）が登壇し、生成AI時代に求められるサイバーレジリエンスについて語った。

　同氏は30年以上にわたりネットワークやインフラ、セキュリティに携わってきたエンジニアだ。講演では最新の脅威動向を紹介するのではなく、「足元をどうしていくか」をテーマに、自社が数年かけて取り組んできた改革と、その中で得られた教訓を共有した。

トヨタの“脱境界防御”はどこで行き詰まったのか？

トヨタ自動車の寺澤知昭氏（情報セキュリティ・トラスト部長）（筆者撮影）

　「ITの進化は年々加速している。一方で多くの日本企業は境界防御からゼロトラストに移行し始めた段階だ。トヨタ自動車も同じだが、AIを活用する攻撃者に追い付くには、アーキテクチャそのものを見直さなければならない」と寺澤氏は危機感を示す。

　生成AIは攻撃側に大きな変化をもたらしている。従来、日本企業では脆弱（ぜいじゃく）性が公開されてからパッチを適用するまで平均55日程度かかるとされてきた。一方、AIを活用する攻撃者は数時間で脆弱性を悪用するとの指摘もあり、防御側との時間差は急速に拡大している。

　「従来型インフラは人の運用に依存しているため、AIによる高速な攻撃に時間的に追い付けない」と寺澤氏は語り、多くの企業がITインフラそのものの変革を迫られていると指摘した。

　興味深かったのは、トヨタ自動車が関連会社を対象に実施した独自の分析だ。

　同社は自動車産業サイバーセキュリティガイドラインを基にしたガバナンス成熟度を横軸、外部のスコアリングサービスを利用した技術的なセキュリティスコアを縦軸として関連会社を評価した。

　本来であれば、対策が進むにつれて企業は左下から右上に移動するはずだ。しかし実際には技術スコアだけが高い企業と、ガバナンスだけが高い企業が数多く存在したという。技術スコアだけが高い企業について、寺澤氏は次のように分析する。

　「『ゼロトラストが流行っているから、この製品を入れよう』といった形でピンポイントで製品を導入している企業も多い。しかし『何のために導入するのか』という戦略がなければ、後々の攻撃には耐えられない」

　寺澤氏は、こうした状況はサイバーリスク管理の基本プロセスが十分に実践されていないことに起因すると説明する。

　同氏によれば、サイバーセキュリティは全社的リスク管理の一部として考えるべきであり、「攻撃者を知る」「事業リスクを把握する」「戦略を策定する」というプロセスを経て初めて技術対策を導入すべきだという。

　「フォーティネットのSASE（Secure Access Service Edge）製品を導入することも、このプロセスで言えば『コントロール』に過ぎない。製品導入は戦略を実現するための手段であり、目的ではない」

インフラ大改革　最大障壁は「セキュリティ」ではなかった

　こうした考え方を基に、トヨタ自動車は境界防御から脱却するための改革を進めてきた。目指したのは「侵入を防ぐ」「侵入されても横展開（ラテラルムーブメント）させない」「万が一侵害されても迅速に復旧する」という3段階の防御モデルだ。

　同社はこのモデルに沿って実際にインフラモダナイズに着手したが、思わぬ壁に直面した。寺澤氏は「認証やアクセス管理、権限管理といった領域は、実はインフラやネットワークの担当者が最も苦手とする分野だった」と話す。

　当時、同社には1000を超える業務アプリケーションが存在し、認証基盤もシステムごとに個別最適化されていた。厳密なアクセス制御やID管理を実現するには、それらを統合する必要がある。しかし、そのためにはアプリケーションの担当部門や事業部門との調整が欠かせない。

　「私自身もそうだが、インフラ担当者はIDの世界や業務アプリケーション、さらにその先にいる事業部門との調整があまり得意ではない。正直、おっくうだった」

　それでも、この課題から目を背ければ真のゼロトラストは実現できないと判断した同社は、認証基盤の統合を起点にクラウド移行を進め、VPN依存から脱却するためSASEの導入も推進した。

　「当時は『寺澤は何を言っているんだ』と言われることもあったが改革を推進した。このインフラモダナイズには4年以上の歳月を要した」

　寺澤氏は改革を振り返り、「製品を年間計画で導入しただけではアーキテクチャは変わらない。戦略を描き、数年単位で変革を進める覚悟が必要だ」と語った。

「ITだけで絶対にやるな」　サイバーBCPは経営の仕事

　トヨタ自動車がインフラのモダナイズと並行して重視してきたのが、サイバーBCP（事業継続計画）の整備だ。寺澤氏は「多くの企業から『サイバーBCPはどのように作ればいいのか』と相談を受ける。そのたびに必ず伝えているのが『ITだけで絶対にやらないでください』ということだ」と話す。

　寺澤氏は、その理由を次のように説明する。

　サイバー攻撃を受けた企業では、マルウェアの駆除やフォレンジック調査、システム復旧といった技術的な対応に注目が集まりがちだ。しかし、それだけでは企業は元の状態には戻らない。工場をいつ再稼働させるのか。代替手段で事業を継続するのか。顧客へのサービスをどのタイミングで再開するのか。こうした判断はIT部門ではなく、経営層や各事業部門の責任者が担うべきものだ。

　「システムが復旧したことと、事業が復旧したことはイコールではない。最終的に『安全宣言』を出し、事業を元に戻すためには、経営や事業部門が主体にならなければならない」

　そのため同社では、サイバーBCPをIT部門だけで策定するのではなく、経営層や各事業部門を巻き込んだトップダウンの体制で整備を進めてきた。

　IT部門の役割は技術対応だけではない。事業部門が迷わず意思決定できるようプレイブックを整備し、訓練を支援し、インシデント発生時に事業継続を支えることも重要な役割だという。

　「われわれは事業に寄り添いながらBCPを整備し、各部門の訓練を支援してきた。だからこそ、ITだけではなく経営や事業部門も含めた体制づくりが欠かせない」

セキュリティ製品は「最後」に導入するもの

　講演を通じて寺澤氏が繰り返し訴えたのは、「技術」よりも「戦略」が先にあるという考え方だった。生成AIによって攻撃が高速化する現在、最新のセキュリティ製品を導入すること自体は重要だ。しかし、それだけでは企業のレジリエンスは高まらない。

　「要件がないままITソリューションを導入しても意味がない。サイバーリスク管理の基本に立ち返り、事業や経営と議論しながら進めることが重要だ」

　同氏は、サイバーリスク管理の基本サイクルを愚直に回し続けることが、結果として企業全体のレジリエンス向上につながると語る。そして講演の最後には、会場に集まった経営層へ向けて次のように呼びかけた。

　「現場が戦略を持って新しいセキュリティに挑戦しようとしているとき、『何を言っているのか分からない』と切り捨てるのではなく、ぜひ耳を傾け、背中を押していただきたい。それが将来のサイバーレジリエンスを高めることにつながる」

〜記者の目：ニュースをちょっと深掘り〜

生成AIは攻撃者に大きな武器を与え、攻撃のスピードを劇的に変えつつある。一方で、防御側もAIや自動化を活用した対策の導入を急いでいる。

しかし寺澤氏の講演で印象的だったのは、AIそのものではなく「基本」の重要性を繰り返し強調していた点だ。

攻撃者を理解し、自社の事業リスクを把握し、経営と戦略を共有した上で、必要な技術を選択する。そして、一度導入して終わりではなく、継続的に見直しを続ける。

派手な新技術よりも、地道なガバナンスの積み重ねこそがレジリエンスを支えるというメッセージは、AI時代だからこそ重みを増している。

セキュリティ業界では「ゼロトラスト」や「SASE」といった“バズワード”がしばしば注目を集める。ただそれらはあくまで戦略を実現するための手段に過ぎない。トヨタ自動車が4年以上をかけて取り組んだ改革は、「製品を導入すれば終わり」という発想では企業を守れないことを示している。（田渕聖人）