アルバネットワークスのポリシー管理製品「ClearPass」。ネットワークアクセス権限をきめ細かくかつ一元的に制御できる《クリックで拡大》

　スマートデバイスを会社の環境に持ち込むユーザーはかつてなく増えているが、それが常に従業員とは限らない。現代のビジターはWi-Fi対応のスマートフォンを持っていると思って間違いない。IT部門がそのためのインターネット接続を設定することは可能だが、たとえ大きなセキュリティ不安がない組織であっても、会社の無線LANにアクセスする外部の人間に対しては、ある程度の制限をかけておいた方が無難だ。

　IT部門は、ルーティングをワイドエリアネットワーク（WAN）へのトラフィックのみに制限するサービスセット識別子（SSID）を設定することによって、ビジターに会社のネットワークへの接続を提供できる。これでLAN上の他の要素やサービスは一切ゲストには見えない状態が保たれる。だが、業務委託先の業者に会社のネットワークへのアクセスを提供する必要がある場合はどうするのか。

　無料インターネットサービスは顧客獲得やつなぎ止めの助けになるか。そうであればゲスト無線アクセスのプロビジョニングはごく簡単なことに思えるが、事はそう単純ではない。ゲストアクセスの定義は拡大し続けていて、IT部門は複数の安全策を講じる必要がある。だが、ほとんどの組織はそれを見過ごしている。コンシューマーグレードの端末は近いうちにエンタープライズネットワーク上のトラフィックの大半を占めるようになる。従って、IT部門は部外者に対してワンクリックでアクティベートできる機能を単純に提供するのではなく、ゲスト用のネットワークアクセスポリシーについて熟考しなければならない。

ゲストアクセスの事前対策

　ゲストアクセスの提供は単純にインターネットルーティングを制限することにとどまらない。実際のところ、ほとんどの組織ではゲストアクセスを1つのネットワークサービスとして考える必要がある。また、ゲストアクセスをIT部門が承認した単一の機能セットに集約する必要もない。さまざまな種類のゲストユーザーのためにサービスをカスタマイズすることも可能だ。

　ゲストのためのネットワークアクセスポリシーを定めるに当たって検討すべき5項目は以下の通り。

運用スペック

　クライアントベースに着目し、それに従ってIT部門が有効にすべきサービスを見極める。一般的にインターネット接続は当然としても、一部のサイトへのアクセスは制限する必要があるかもしれない。部外者でも協力関係にあるゲストや付き合いの長いゲスト、あるいは優先度の高いゲストなどの場合、印刷や公開ファイルディレクトリへの限定的なアクセスを認めることもある。サービス品質（QoS）も要検討だ。全てではないがほとんどの企業では、ゲストサービスの優先度は他のトラフィックのそれより低い。悪用される可能性を最低限に抑えるために、決められた端末やOSのみにアクセスを許すことを選ぶ組織もあるかもしれない。

セッションごとのWPA2鍵

　ユーザーごとにセキュリティ鍵を自動的に割り当てるサードパーティーサービスを検討したい。全員に同じパスワードを付与してはいけない。ユーザーごと、セッションごとの鍵を使えば、他のユーザーに影響を与えることなく、問題がある特定のゲストユーザーをブロックするのが容易になる。エンタープライズグレードのゲスト用無線LAN接続には、WPA2レベル以上のセキュリティ対策、すなわち802.1X、IPsec、SSLまたは同等のセキュリティが必要だ。どんな企業であっても決して会社の無線LANネットワークを開放してはならない。

スプラッシュページ契約

　組織のローカルネットワークアクセスポリシーはスプラッシュページに掲載して、ゲストがネットワークにアクセスする前に通過させなければならない。このページには「クリックして同意」のボタンを含める必要がある。これでゲストがたとえIT部門のポリシーや法令に違反した場合でも、ある程度の対策にはなる。

期限切れ

　ゲスト用のログイン情報は、例えば営業時間の終了時や24時間後、あるいは数日後など一定時間が経った時点で期限切れにする必要がある（短い方が望ましい）。期限のないログイン情報がセキュリティの抜け穴となって、後にネットワークへの不正な再ログインに使われることもある。

ID管理

　多くの無線LANシステムベンダーはID管理（IDM）機能を提供し、ゲストのログイン情報を収集できるようにしている。このデータを取得して保持すれば、ゲストネットワークの利用に関する独自の分析ができる。ID管理サービスではまた、簡単に複数のゲストクラスを作成して、それぞれのグループに別々のパーミッションを適用できる。企業のビジターは複数の種類に分類できることも多く、必要とするネットワークアクセスの程度はそれぞれで異なる。

　コンシューマーグレードの無線LANがゲストアクセス機能を提供するケースも増えているが、大規模かつ多様な環境での利用を想定したエンタープライズクラスの無線LANシステムを規模の小さい組織が自分たちにも提供できると思い込むべきではない。上記のような条件に対応できるのは、エンタープライズグレードのシステムに限られる。

　ゲストアクセス管理とは結局、特定クラスのユーザー向けの一連のポリシーである。複数クラスの「ゲスト」を定義してルーティングとパーミッションを個々のローカルニーズに合わせて慎重にカスタマイズする場合もある。IDを管理しておけば、ネットワークアクセスの必然的な進化に対応してポリシーを簡単に変更できる。IT部門にとっての優先事項は依然としてネットワークの管理とセキュリティ対策にあることを忘れてはならない。