Zscalerがラスベガスの年次イベントで、Zero Trust SASEをAI時代向けに再定義する構想を明らかにした。核となるZAgent Frameworkは、従来の人間のアクセス制御を超え、AIエージェントや業務ワークロード、非管理デバイス、B2Bパートナーまで適用範囲を広げる。これは単なる機能拡張ではなく、セキュリティの適用対象そのものが変化していることを示している。
参考: Zscaler、AI時代に向けたZero Trust SASE再定義を発表（enterpriseZine）
分析・見解
ゼロトラストの対象が人からAIエージェントへ拡大
今回の発表で注目すべきは、ゼロトラスト（＝「誰も無条件に信用しない」という設計思想）の適用対象が、「誰が何にアクセスするか」から「何が誰の権限で動作するか」へと根本的に変わった点だ。従来のゼロトラストは、人間が直接システムにアクセスする場面を前提に設計されていた。しかし、ChatGPTなどの生成AIが業務プロセスに組み込まれた今、AIエージェントが人の手を離れて複数のシステムを自律的に横断する場面が日常化している。この状況では、アクセスのたびに認証するという従来の仕組みだけでは、エージェントの動きを十分に制御できない。ZAgent Frameworkは、この課題に対してエージェント自身に権限委譲の枠組みを与え、どこまで自律的に動いてよいかを定義できる仕組みと推測される。
パートナー経由の侵入増加を見据えた適用範囲拡大
非管理デバイスやB2Bパートナーまで適用範囲を広げた背景には、取引先経由で侵入されるサプライチェーン攻撃の深刻化がある。2021年のSolarWinds事件以降、信頼している取引先を踏み台にした侵入が珍しくなくなっており、自社が管理する端末だけを守っていては不十分だ。
マルチクラウド対応で描く境界消失型セキュリティ
マルチクラウド対応も、企業の業務システムがAWS、Azure、GCPなど複数のクラウドに分散配置されている現実に合わせた動きだ。これらを総合すると、Zscalerが描いているのは、社内と社外の境界という考え方自体をなくすことを前提にしたセキュリティモデルの完成形だと言える。
ビジネスへの影響
AIエージェントのガバナンス体制構築が急務に
企業の意思決定者にとって、この動きは既存のセキュリティ投資を見直す契機になる。特にAIエージェントを業務に導入済み、または検討中の組織では、エージェントを管理する体制づくりが急務だ。具体的には、エージェントがアクセスできるデータの範囲、実行してよい操作の制限、記録を残す仕組み（＝監査ログ）の設計を早急に固めておく必要がある。
パートナー企業や未管理端末への対策見直しも必要
B2Bパートナーとデータ連携やシステム統合を行っている企業は、相手先のセキュリティ対策を評価し、ゼロトラストの考え方を契約条件に盛り込む必要がある。私物端末（BYOD）や会社が管理していない端末からのアクセスを認めている組織も多いが、こうした端末を通じた情報漏洩のリスクを改めて見直し、必要に応じてアクセス権限を細かく分けたり、端末を証明する仕組みを導入したりすることを検討すべきだろう。