ゼロトラストか、破綻か：AIを活用したマルチクラウド環境におけるコンプライアンスの順守

コンプライアンスの問題は新しいものではないが、コンプライアンスが求められる環境は変化している。

少し前まで、規制要件のコンプライアンスを順守することは、主に文書作成の作業でした。HIPAA、PCI-DSS、SOC 2、GDPRなどのフレームワークに自社の制御を対応付け、年1回の監査を実施し、その結果を提出するというものでした。華やかな仕事ではありませんでしたが、対応可能なものでした。

そのモデルは、もはや機能しません。その原因となっているのが、あらゆる組織が導入しているAIとマルチクラウドという2つのテクノロジーです。

望んでいたわけではないコンプライアンスの問題

現在、平均的な組織では、2.1社のパブリック クラウド プロバイダーにまたがってワークロードを運用し、85種類のSaaSアプリケーションを管理しています(Thales 2025 Data Threat Report)。その環境のひとつひとつにデータが保存されています。それぞれが独自のアクセス制御、ログ形式、セキュリティ設定を備えています。そして、こうした環境同士が一貫した形で連携できなくなっているケースが、ますます増えています。

その結果、クラウドに保存されているデータ全体の54%もが現在、機密データに分類されています。しかし、そのうち80%以上を暗号化している組織はわずか8%にとどまります(Thales 2025 Data Threat Report)。これはギャップではなく、大きな隔たりです。

AIによって、状況はさらに悪化しています。2025年の調査では、66%の組織が、アクセスを認可されていない機密データにAIツールがアクセスしていることを発見しました。そのやり取りをリアル タイムでモニタリングできていた組織は、わずか9%でした(Cyera + Cybersecurity Insiders 2025 State of AI Data Security Report)。従業員は、機密性の高い顧客情報、財務データ、規制対象の記録を承認されていないAIツールと共有しています。その結果、セキュリティ部門が「シャドー データ」と呼ぶ、規制当局にとっては責任問題となるデータが生み出されています。

その影響は深刻です。2025年、米国におけるデータ侵害の平均コストは過去最高の1,022万ドルに達しました。また、コンプライアンス違反を伴う侵害の世界平均コストは461万ドルで、世界平均を4%上回っています(IBM Cost of a Data Breach 2025)。さらに、50%の組織が直近のコンプライアンス監査に合格できず、手作業に依存している組織は、監査に不合格となる可能性が2倍に上りました(Hyperproof 2026 IT Risk & Compliance Benchmark Report)。

金融サービス、医療、重要インフラのコンプライアンス責任者やリスク担当役員にとって、これは抽象的な問題ではありません。四半期ごとの取締役会で議論される問題です。

従来のアプローチでは対応できない理由

ほとんどのベンダーが公には語らない不都合な現実をお伝えしましょう。多くの組織がコンプライアンス対応に利用しているツールは、異なる時代のために構築されたものです。データが既知の場所に存在し、予測可能な形で移動し、特定の時点で実施する監査によって管理できることを前提としています。

その前提は、もはやどれも成り立ちません。

クラウド ワークロードが患者データを生成して移動させ、オブジェクト ストレージにエクスポートし、SaaSエンドポイントと同期した後、生成AIによる要約ツールに送るまですべて数分以内に完了する場合、従来のオンプレミスDLPは、その経路を一度も検査できません。また、非本番ワークロードがオープンなバケットや過剰に寛容なIAM設定で立ち上がった場合、設定ドリフトが何週間も検知されない可能性があります。その頃には、データもコンプライアンス違反も、すでに外部に流出しています。

ツールが断片化されれば、可視性も断片化されます。そして、断片化された可視性こそ、コンプライアンスの敵です。

コンプライアンスの実際の要件

法的な専門用語を除けば、ほとんどのコンプライアンス フレームワークが求めているのは、同じ基本的な機能です。

• 誰が何にアクセスしているかを把握する(アイデンティティーベースのアクセス制御、最小特権)
• すべてを検査および記録する(継続的なモニタリング、監査証跡)
• 機密性の高い環境をセグメント化する(データのラテラル ムーブメントの防止)
• ポリシーを一貫して施行する(どこでも毎回同じルール)
• 監査人に対してすべてを証明する(一元化されたレポートと証拠)

問題は何でしょうか。従来のネットワーク セキュリティを使って、ハイブリッド、マルチクラウド、AI対応の組織全体にこうした機能を提供するのは、見えない道路で速度制限を取り締まろうとするようなものです。これはテクノロジーの問題ではなく、データ セキュリティ アーキテクチャーの問題です。

ゼロトラスト アーキテクチャーで変わる状況

ここで、正しく実装されたゼロトラストが、コンプライアンスに関する議論を根本的に変えます。「監査が怖い」状態から「いつでも監査に対応できる」状態へと変えるのです。その結果は明らかです。ゼロトラスト アーキテクチャーを導入していない組織と比べ、導入している組織では、1件の侵害あたり平均176万ドルのコストを削減しています。³

Zscalerはゼロトラスト セキュリティの先駆者として、ユーザーとワークロード全体にゼロトラストの原則をゼロから適用してネットワーク セキュリティを再構築することで、コンプライアンスを簡素化します。ゼロトラストは、決して信頼せず、常に検証するというシンプルでありながら強力な原則に基づいています。(マルチクラウド環境には存在しない)ネットワーク境界に依存するのではなく、Zscalerはユーザー、ワークロード、アプリケーションがどこに存在するかを問わず、アイデンティティー、コンテキスト、ポリシーに基づいて安全な接続を仲介します。

Zscaler Zero Trust Cloudは、パブリック クラウドとプライベート クラウドのワークロードに安全な接続を提供する統合されたゼロトラスト プラットフォームです。攻撃対象領域を根本的に縮小し、ラテラル ムーブメントを防止します。ネットワークを公開するのではなくアプリを不可視化し、アイデンティティーとアプリケーションを直接接続します。すべての接続において、アイデンティティーとコンテキストに基づく最小特権アクセスを適用します。トラフィックはクラウドならではの規模で双方向に検査され、プライバシー制御によって管理されたTLS復号と、データ損失やデータ持ち出しを検知および防止するインラインDLPを実施します。アプリ間とアプリ内のマイクロセグメンテーションによってラテラル ムーブメントを阻止し、監査対象の範囲を大幅に縮小します。そして、これらすべてが1か所に自動的に記録されます。改ざんできず一貫性があり、監査人への対応が可能です。

コンプライアンスの観点から見ると、これは以下のような意味を持ちます。

• すべてのクラウドで統一されたポリシー。1つのセキュリティ ポリシー エンジンによって、AWS、Azure、GCPにまでゼロトラストの原則を適用します。環境ごとに断片化されたルールを管理するのではなく、コンプライアンス部門は一貫した施行と一貫した証拠を得られます。
• 継続的なログ管理と監査証跡。すべての接続、すべてのデータ フロー、すべてのアクセス判断を記録します。監査人からアクセス制御やセグメンテーションの証拠を求められても、すでに一元管理され、検索可能な状態で用意されています。
• デフォルトで最小特権アクセス。ユーザーとワークロードは、明示的にアクセスを認可された対象にのみ接続します。ラテラル ムーブメントは発生しません。広範なネットワーク アクセスもありません。これは、HIPAA、PCI DSS、NISTのフレームワークが求めるものに直接対応します。
• インライン データ保護。AIアプリケーションとの間で送受信されるトラフィックを含め、転送中の機密データを分類して保護します。クラウドならではの規模でTLS/SSLインスペクションを実施します。これにより、GDPRが定めるデータ保護設計の原則や、新たに求められているAIガバナンス要件に対応します。
• 攻撃対象領域の削減。リソースをインターネットに公開することがないため、監査対象も、保護すべき対象も、問題が発生する可能性も少なくなります。

その結果、コンプライアンスのあり方は、事後対応型のコンプライアンス、つまり、ある時点でコンプライアンスを順守していたことを証明するために慌てて対応する状態から、担当部門、監査人、取締役会がリアル タイムで確認できる、継続的かつ証明可能なコンプライアンスへと変わります。このことは調査結果からも裏付けられています。コンプライアンスとセキュリティの分析を1つのプラットフォームに統合した組織では、規制違反が30%少なくなっています。

実践での証明

ブラジル最大手のデジタル バンクの1社では、AWS、Azure、Google Cloudにまたがって顧客データや金融データを33ペタバイト以上処理しています。厳しい規制当局の監視に直面するなかで拡張できないサイロ化されたDLPツールが複雑に混在していたため、同社はZscalerのゼロトラスト プラットフォームを導入し、クラウド ワークロードからAIモデルまで、あらゆる環境でデータ セキュリティを統合しました。その結果、年間425万ドルのリスク エクスポージャー削減を実現し、修復にかかる時間を数日から数分に短縮するとともに、マルチクラウド環境全体で地域の金融規制要件を満たすために必要な可視性と制御を確保しました。

世界有数の金融投資会社は、Zscalerによって、複雑で手作業の多い監査対応の負担となっていたコンプライアンスを、継続的かつ自動化された保護状態を検証できる環境へと変革しました。同社は、AzureとAWSのワークロード全体で従来のIPベースのルールに代えてワークロードのアイデンティティーを利用する、Zscalerのアイデンティティーベースのマイクロセグメンテーションを活用することで、PCI DSS 4.0が定める厳格なネットワーク セキュリティ制御に直接対応することができました。さらに、Zscalerの統合型エグレス モデルは、進化するSWIFTカスタマー セキュリティ プログラム(CSP)の要件に対応できるよう特別に設計されました。ハブ＆スポーク型アーキテクチャーにZscaler Cloud Connectorを導入してバック オフィスとトランザクション データのフローを保護することで、顧客環境とSWIFTインフラ間のデータ フローにきめ細かなポリシーを施行し、SWIFTの原則1を満たす「セキュア ゾーン」を構築しました。

コンプライアンスはデータ セキュリティの問題

ここ数年で明らかになったことが1つあるとすれば、それはコンプライアンスとデータ セキュリティがもはや別々の領域ではないということです。機密データがどこに存在するのかを把握し、どのように移動するのかを制御し、その両方を要求水準がますます高まっている規制当局に証明できなければ、コンプライアンスを確保することはできません。

AIとマルチクラウドがなくなることはありません。これらを管理する規制フレームワークであるEU AI法、DORA、改正されたHIPAA規則、PCI-DSS 4.0は、今後さらに厳格化していくでしょう。この状況に適切に対応できる組織は、最も多くのコンプライアンス ツールを導入している組織ではなく、その基盤となるアーキテクチャーを適切に構築している組織です。

監査が不安な状態から監査に対応できる体制に変える準備

• ソリューションの概要をご覧いただき、Zero Trust Cloudによって継続的なコンプライアンスを確保する詳細をご確認ください。
• Zscalerコンプライアンス センターをご確認いただき、Zero Trust Cloudがご利用の規制フレームワークにどのように対応しているかをご覧ください。または、お客様向けのコンプライアンス レポートをご依頼ください。

• Zscalerのコンプライアンス専門家との面談を予約お客様固有の要件についてご相談ください。HIPAA、PCI-DSS、DORAのいずれか、またはこれらすべてに関する要件に対応します。