境界のないデジタルワークプレースの実現：Computer Weekly製品ガイド

セキュアなデジタルワークプレースの実現に向けた手順について紹介する。

[Manjunath Bhat，Computer Weekly]

　状況に応じて端末を使い分けるユーザーが増えており、ユーザーが使うのは1台のPCに限定されるという前提は成り立たなくなった。ナレッジワーカーはオフィスでノートPCを使い、通勤時はスマートフォンに切り替え、飛行機の中ではタブレットを使用する。第一線で働く作業員が、共有型の端末やスマートフォン、ウェアラブル端末を使い分けることもある。

関連記事

• 失敗しない「ゼロトラスト」導入法
• 従来型ネットワークセキュリティからの解放
• クラウド時代の認証方式SDP（Software Defined Perimeter）導入事例
• ペリメータレスセキュリティの第一歩
• 境界のないデジタルワークプレースの実現

　いずれの場合でも、アプリケーション（以下、アプリ）やデータがどこでホスティングされているかをユーザーが知る必要はない。こうした働き方の変化は、ペリメータレス（境界のない）ワークプレースへのシフトを物語る。デジタルビジネスは新しいニーズを生み出し、それがペリメータレスワークプレースの必要性を増大させる。具体的には以下のような条件が求められる。

• 従業員の移動が増えることへの対応
• 端末選択の柔軟性と、端末間で切り替えられる能力
• コンシューマー向けアプリのようなエクスペリエンスの要求
• 第一線の作業員とナレッジワーカーの生産性向上

　ペリメータレスワークプレース確立に向けた中心的な原則の一つは、ユーザーがアクセスできるサービスは、ネットワークだけでは決定しないという点だ。ペリメータベースのセキュリティモデルと違って、アクセスを認めるか認めないかは、物理的な居場所やIPアドレス、仮想プライベートネットワーク（VPN）の使用に縛られない。

　代わってユーザーや端末、脅威シグナルのようなコンテキストデータが動的に適切なアクセスポリシーを決定する。それを引き金として、多段階認証やアクセス拒否などの信頼向上技術が求められることもある。

　ユーザーとコンテキストに対する信頼は、アクセスされるリソースに関連したリスクの程度に合わせなければならない。それを端的に物語るのが、ユーザーがセンシティブなデータ（会社の財務情報など）にアクセスするケースだ。センシティブなデータにアクセスする場合、ユーザーが正社員であることや完全管理型の端末使用を必須とすることもある。だがゼロデイ攻撃や標的型攻撃、認証情報の盗難、インサイダーの脅威に見られるように、ユーザーの認証情報が盗まれたり端末がハッキングされたりしている可能性もある。一時的にアクセスを許可／不許可とするセキュリティ評価や防御では十分とはいえない。

　社外でも社内と同様のアクセスをユーザーに許可することもできる。だがそれは信頼がリスクに合致する場合、あるいはリスクをしのぐ場合に限られる。そこから、ユーザーの本人認証と端末レベルの信頼を組み合わせて使うアダプティブアクセスの必要性が生じる。これまで認証や承認、シングルサインオンを提供してきたアクセス管理ツールは拡張され、もっと知的なアダプティブアクセスコントロール機能が搭載されるようになった。

　そうした機能はコンテキストデータを分析に応用し、それに応じたアクセスポリシーに従ってアクセスの許可／不許可を判断したり、追加的なユーザー認証手段といった信頼を高める措置をリクエストしたりできる。端末レベルの信頼は必須だ。それがなければその端末がハッキングされていないことを確認できない。

　エンドポイントで継続的にリスク評価するためには、統合型エンドポイント管理（UEM：Unified Endpoint Management）ツールを

• エンドポイントでの検出と対応（EDR：Endpoint Detection and Response）
• モバイル脅威対策（MTD：Mobile Threat Defense）
• セキュリティ情報およびイベント管理（SIEM：Security Information and Event Management）
• ユーザーおよびエンティティー挙動分析（UEBA：User and Entity Behavior Analytics）

などのツールと連携させる必要がある。その結果、UEMツールを単一のオーケストレーションポイントとして活用し、信頼できるリモートデバイス認証を実現するアクセス管理ツールが増えている。

　モバイル端末管理（MDM：Mobile Device Management）ベースの端末コンプライアンスに加え、UEMツールは端末の証明書を管理して多様な認証手段に利用できる。X.509証明書をモバイル端末に利用すれば、強力かつシンプルな方法で強力な端末認証が実現する。それを手掛けるサプライヤーの1社にDuo Beyondがある。

　主要UEMツールはほとんどが、内蔵の公開鍵インフラ（PKI）あるいはサードパーティーPKI（GMOグローバルサイン、Microsoft、Entrust Datacard、OpenTrust、RSA Securityなどのツール）の統合を通じて、端末証明書のライフサイクル管理機能を搭載している。

　Googleが社内で導入している境界のない職場環境「BeyondCorp」は、X.509証明書を使ってデスクトップPCやノートPCを識別する。iOS端末の識別はidentifierForVendorを利用し、Android端末はMDM機能を使って報告されたデバイスIDを利用する。Adobe SystemsはUEMとIDアクセス管理（IAM：Identity and Access Management）を使ってポリシーやセキュリティ設定、証明書ベースの認証を徹底させている（UEMはVMware Workspace ONE、IAMはOkta製品）。

　使い勝手と操作性のバランスを取るために、アダプティブアクセスは適切なアクセスレベルをリアルタイムで決定する。ユーザーがデータをローカルにダウンロードすることをリクエストすると、UEMがコンテキストベースのリスク評価と信頼評価をして、許可するか条件付きで許可するか、あるいは不許可とするかを決定する。管理されていない端末へのダウンロードを制限し、健全な状態にある管理された端末に限定することもできる。

　ファイルを暗号化する場合のみ、管理されていない端末へのダウンロードを許可する方法もある。透過的なファイルレベル暗号化を提供しているサプライヤーにはSecureAge TechnologyやDriveLockなどがある。デバイスコンテキストは異常を検出する役割を果たし、端末の位置情報、IPアドレス、使用時の挙動、セキュリティ態勢などが含まれる。端末のリスクの程度（信頼できる端末か未知の端末かなど）に応じて、認証手段を強化する必要があるかどうかを判断する。

　企業におけるWindows 10とmacOSの普及やPCとモバイル端末の両方を管理できるUEMツールの実用性が高まったことで、クライアント管理ツール（CMT：Client Management Tool）とエンタープライズモバイル管理（EMM：Enterprise Mobile Management）ツールを組み合わせた単一のUEMツールが注目されている。UEMツールは遠隔操作でアプリやOSのアップデータを配信でき、会社のドメインに接続しなくてもPCのデータをモバイル端末のように消去することもできる（必要な場合のみ）。

　PCとモバイル端末の統合は、共通のポリシーとプロセス、基準、ツールを確立する助けになる。UEMツールは共通のワークフローの一環として、複数のプラットフォームを横断してアプリを導入できる（Windows 10用の複雑なWin32アプリは除く）。ChromebookはGoogle Playストア経由で導入したAndroidアプリを実行でき、ノート型端末とモバイル端末との境界は一層薄れている。これによってAndroidアプリの世界は広がるものの、GPSや加速度計など端末の機能に依存する限界もある。

　ペリメータレスワークプレースでは、インフラの観点からのアップタイム計測ではなく、ユーザーが認識するアプリの反応時間を分析することが重要になる。アプリそのものに加えて複数の要因がユーザーエクスペリエンスに影響することによる。これにはネットワークの性能や他のプロセスによるCPUやメモリ、OSへの過剰負荷といった端末の性格が含まれる。

　最後に、Windows（ファットクライアント）のレガシーアプリをサポートする必要性は、ビジネスワークフローをモバイル化する妨げになる。そうしたアプリがリファクタリングされるか根本から設計が変更されるまで、これをサポートするための戦略が必要になる。場合によっては、モバイルアプリのおかげでレガシーアプリが余剰になることもある。アプリのアーキテクチャ変更が既存のアプリのモバイル版を作り直すという行動に転じることがあってはならない。

本稿はGartnerの報告書「4 Steps to Implement a Perimeterless Digital Workplace」より抜粋。マンジュナス・バート氏はGartnerの調査ディレクター。