なぜ米国企業はゼロトラスト導入で「大手SIer」を使わないのか？調査でわかった日米のITの構造的な違い

日本でジョン・キンダーバーグの【ゼロトラスト思想】に基づくゼロトラストアーキテクチャを本格的に導入しようとすると、手がけたSIerの絶対数が圧倒的に少ないため、消去法的にインドのAWAインテグレーター最大手（彼らは国際的な最大手です）であり、Amazon AWSからも公式に最大手AWSインテグレーターとして認められているTSC、Infosys、WiproなどのAWSに頭抜けて強いプレイヤーに依頼しないと、まず導入が進みません。色んな調査をかけてわかった事実です。

AWSが公式に配布している以下のようなゼロトラストアーキテクチャ導入に関するステップを踏んで、取り組むことができる日本のSIerはまずないと踏んでいます。誤認があったら申し訳ありません。何らかの形でご指摘いただければ幸いです。

AWS: Zero trust on AWS

https://aws.amazon.com/jp/security/zero-trust/

AWS: AWS Prescriptive Guidance

https://docs.aws.amazon.com/pdfs/prescriptive-guidance/latest/strategy-zero-trust-architecture/strategy-zero-trust-architecture.pdf

日本ではジョン・キンダーバーグのゼロトラスト思想ですら、その本質を捉えて普及啓蒙にあたってきたのは、NRIセキュアぐらいですから、ゼロトラスが何か？すら理解されていません。米国とは情報の壁、英語の壁が存在しています。

NRIセキュア：ゼロトラストは誤解だらけ？キンダーバーグ氏が語るその本質とは（2024年7月）

ジョン・キンダーバーグのゼロトラスト思想に基づく、米国政府が推奨しているゼロトラストアーキテクチャを日本の大企業に導入させることができる国内のSIerは存在しない。そこで消去法的にインドの最大手AWSインテグレータ=世界最大手のAWSインテグレータに依頼せざるを得ないということになります。

これが米国に目を転じると全く違う状況があることが、本格的に調査をすることでわかってきました。

以下のnoteに1万3,000字の調査報告書本体を上げました。興味がある方はお読み下さい。

なぜ米国のゼロトラストはランサムウェアを防げるのか？日本企業の「なんちゃって導入」との決定的な差：日米の差異に関する調査報告書

さて。以下はこの長大な報告書の中から、日米の差がどうなっているのかを論じたチャプターをブログとして書き直したテキストです。これもまた「うーん」と唸らざるを得ない現実を伝えています。

なぜ米国企業はゼロトラスト導入で「大手SIer」を使わないのか？：構築から構成へのパラダイムシフト

日本企業が大規模なインフラ刷新を行う際、当然のように「大手SIer（GSI）」への依頼が前提となります 。しかし、最新の調査によると、ゼロトラスト先進国である米国では、TCSやAccentureといったGSIが必ずしも主役の座にはいません 。むしろ、中堅〜大企業層においては、「内製エンジニアリング」と「SaaSネイティブなエコシステム」が主導権を握っています 。

なぜ米国ではGSI不在の導入が進むのか。その背景にある「構築（Build）から構成（Configure）へ」というパラダイムシフトについて解説します。

1. インフラの消滅と「構築」の終焉

かつてのセキュリティインフラ（ファイアウォールやMPLS回線）は、物理的な設置と複雑な設定を要したため、GSIによる労働集約的な支援が不可欠でした 。しかし、ZscalerやCrowdStrikeといった現代のゼロトラストソリューションはSaaSとして提供されます 。（今泉注：リンクしたZscalerやCrowdStrikeには日本法人があり日本企業がサービス提供の便宜を受けられる。しかしそれを導入することが必ずしも米国政府が推奨しているゼロトラストアーキテクチャへの移行になるのか、そうでないのかは、各社が独自判断することをお勧めします。私が推奨できるのは、日本のTCSおよびWiproの窓口に相談することです。）

・物理構築の消滅：アプライアンスをデータセンターに設置する必要はなく、トラフィックの宛先をクラウドに向ける作業（GREトンネルやPACファイル設定）だけで済みます 。

・APIによる連携：従来SIerがスクリプトを書いて行っていた異機種間連携は、今やAPIで標準化されています 。例えば、CrowdStrikeが検知したリスクをZscalerが読み取って遮断する連携は、管理画面のチェックボックス一つで有効化できます 。

つまり、GSIによる「つなぎ込み開発」の需要自体が激減しているのです 。

2. 「内製インテグレータ」としてのIT部門

米国企業では、IT部門がコストセンターではなく競争力の源泉とみなされており、高度なスキルを持つエンジニアが直接雇用されています 。

ゼロトラストの本質は「誰が・いつ・何にアクセスできるか」というポリシー定義にあります 。これは外部ベンダーではなく、ビジネスプロセスを熟知した社内のITリーダーやセキュリティアーキテクトが決定すべき事項です 。米国企業では、この「論理的な設計」を内製チームが担い、ツールの設定も自ら行う傾向が強いのです 。（今泉注：日本の場合、情シスでこれができる会社は極めて少数であると考える。従って、プロテクトサーフェスは自社で確定させた後で、餅は餅屋式にTCS、Wiproに全的に相談するのが最良の方策だと考える。日本にある米国系SIerはお勧めできない...中身がドメスティックではないかと見ている。本質的には英語の最新の技術資料をどれだけ読み込んで咀嚼して実装レベルにまで腹落ちしているか？そこにある。インドのプレイヤーには英語の壁が存在しないため、英語の最新技術資料をリリースされた直後から読み込み、咀嚼して、実装可能な体制を作る。背後に数万単位のエンジニアがいる。）

例えば、サウスルイジアナコミュニティカレッジ（SLCC）の事例では、ランサムウェア被害からの復旧とゼロトラスト化を、GSIに依存せず、ITディレクターであるNick Pitre氏を中心とした少数の内製チームが主導しました 。彼らは自ら製品（Rubrik）を選定・活用し、高度なデータレジリエンスを実現しています 。（サウスルイジアナコミュニティカレッジの事例については以下の投稿を参照）

関連投稿：

経営者向けレポート： 米国における国を挙げたゼロトラストアーキテクチャの導入、事例とその成果及び非導入事例の場合

3. 餅は餅屋：「ブティック型」と「ベンダーエコシステム」

では、専門的な支援が必要な場合はどうするのでしょうか。米国では巨大なGSIではなく、「ブティック（専門特化）型」パートナーが選好されます 。

・専門特化型パートナー：例えばCrowdStrike導入において、Quzaraのような企業は、労働力ではなく「コンプライアンス（FedRAMP）への専門知」を提供し、短期間でプロジェクトを完遂させます 。

・ベンダーエコシステム：ZscalerなどはMicrosoftやAWSとの事前検証済み統合を提供しており、顧客は「ベストプラクティス構成」をそのまま適用可能です 。これにより、SIerによる独自カスタマイズは不要となります 。

日本とは全く異なる米国企業のIT

米国におけるゼロトラスト導入は、GSIへの「丸投げ」ではなく、以下のハイブリッドモデルで実行されています 。

1. 内製チームによる戦略立案

2. SaaSベンダーの機能活用

3. 必要に応じた専門パートナーの支援

「システムはSIerに作ってもらうもの」という常識がない...という、全く異なるITカルチャーが米国にはあります。