本格的なITプロジェクトでは、最初に試験的な導入を行うのが賢明だ。NAC導入プロジェクトの場合はなおさらそうだ。すべてのネットワークユーザーおよび彼らのPCでの使い勝手に影響するからだ。試験導入では、「友好的ユーザー」のグループ（新しい技術を試すのに意欲的で、プロジェクトの前進のためなら多少の不便はいとわないユーザーのグループ）に協力してもらう必要がある。NACクライアントをPCにインストールするのを嫌がらず、NACポリシーを調整する間、実験に協力してくれるグループがあれば、作業が非常に楽になる。ただし、このパイロットグループを技術知識のあるユーザーに限定してはいけない。さまざまな業務部門のユーザー、すなわち職務内容も違えば技術的な経験も異なるユーザーを代表するサンプルを確保すべきだ。パイロットグループを構成するユーザーが多様であれば、全社的なNAC導入がユーザーに与えるインパクトをより正確に評価することができるからだ。

　試験導入期間は、クライアントベースのツールとクライアントレスツールの効果を試す機会を提供してくれる。パイロットグループはテストベッドだと考えればよい。特定のクライアントあるいは製品が特定グループのユーザーにどんな影響を与えるのかよく分からない場合は、試験導入の対象にそのグループを含め、最初にそのクライアント／製品をテストすればいい。試験導入フェーズの狙いは、ディレクトリとシングルサインオン問題の調整および暫定的なポリシーの影響を評価することだ。

フェーズ2：モニタリングモードでの導入

　試験導入が無事完了したら、次は全社的にNACの導入を開始する段階だ。大抵の場合、「ビッグバン」方式でネットワーク全体にいきなりNACを導入するよりも、段階的な導入戦略の方が望ましい。

　段階的な導入を行う方法は幾つかある。選択肢の1つとして、個々の都市、建物あるいはフロアにNACを順番に導入するという地理的分割方式がある。また、有線ネットワークよりも先に無線ネットワークにNACを導入するという方法もある。業務部門単位で順次導入を進めていく方が理にかなっている企業もあるだろう。導入戦略の策定基準は企業によって異なる。

　NACの導入を成功させる上でカギとなるのは、「最初にモニタリング」というアプローチを採用して影響の少ない導入から始めることだ。すなわち、NAC製品にネットワークをモニタリングさせ、それが下す判断を報告させるだけにとどめ、実際にはネットワークへのアクセスを禁止しない。

フェーズ3：ユーザー教育とシステム修正

　「最初にモニタリング」方式の導入の結果によっては、さらに相当な作業が必要なこともある。クライアントツールを導入したPCがかなりの割合でコンプライアンスチェックに引っ掛かるようであれば、ポリシー違反を引き起こしている原因を調べる必要がある。問題となっているポリシーが厳し過ぎるだけかもしれないという可能性も排除してはならない。

　ポリシーが妥当であると見なされた場合、次のステップはユーザー教育とシステム修正を組み合わせたプログラムを立ち上げることである。かなりの割合のデバイスがポリシーチェックに引っ掛かるようなネットワークアクセス許可基準を適用すれば、大混乱が起きることは間違いない。すぐに、いら立つユーザーコミュニティー、そして悲鳴を上げる技術サポートスタッフの両方からの不満の声にさらされることになるだろう。例えば、ウイルス対策シグネチャを毎日アップデートするようユーザーに要求する場合、かなりの部分を占めるユーザーがソフトウェアのアップデート頻度を週1回に設定していることが分かっていれば、彼らに設定の修正方法を教える方が、ポリシー違反をしたときに接続を遮断するより合理的だ。この点を間違えると、次のステップが、NAC製品を「将来的な検討」用として戸棚にしまい込むということになりかねない。

フェーズ4：コンプライアンスチェック

　試験導入、モニタリングモードでの評価、そしてユーザー教育／デバイス修正プログラムがすべて無事完了したら、次は強制モードでのNACアプローチの実施を検討する段階だ。その際、NACは社内コンプライアンスの健全な状態を維持するためのエンタープライズシステムであって、ユーザーを過酷なセキュリティポリシーに無理やり従わせるためのツールではないという認識を持つことが大切だ。

　合理的かつ慎重なアプローチで臨むのであれば、NAC技術を社内に導入するのに何も恐れることはない。上記の4段階のプロセスに従うことにより、情報セキュリティ担当者および彼が属する組織は、ポリシー適用とコンプライアンスチェックにおいてNACの恩恵を受けることができるだろう。

本稿筆者のマイク・チャップル氏は、ノートルダム大学のITセキュリティプロフェッショナル職を務めており、CISA（公認情報システム監査人）、CISSP（公認情報システムセキュリティプロフェッショナル）の資格を持つ。米国国家安全保障局と米国空軍に情報セキュリティ研究員として勤務した経験がある。「CISSP: Cissp Certified Information Systems Security Professional」や「Information Security Illuminated」（共著）など、情報セキュリティに関する数冊の著書がある。