ゼロトラストネットワーク 第2版 ―境界防御の限界を超えるためのセキュアなシステム設計

3章

コンテクストアウェアネスなエージェント

　セキュリティ意識の高い組織を想像してみてください。各従業員は、業務を行うために強いシークレットを持つラップトップを与えられています。日々の仕事と私生活の接近により、一部の従業員は自分のスマートフォンでメールやカレンダーを閲覧したいと考えています。この仮想的な組織では、セキュリティチームは、ユーザーが特定のリソースにアクセスする際に使用しているデバイスに基づいて、きめ細かなポリシー決定を施行しています。

　例えば、会社支給のラップトップからのコードコミットは許可されてもよいかもしれませんが、私用のスマートフォンからだとどうでしょうか。私用のスマートフォンからのソースコードへのアクセスは、登録されたラップトップからのアクセスよりも明らかにリスクが高いため、組織はそのようなアクセスをブロックします。とはいえ、個人デバイスから企業メールにアクセスすることが許可される場合もあります。この章を通じて学ぶように、ゼロトラスト環境で決定を下す際には、アクセスのコンテクストが重要です。

　上述の事例は、ユーザーとデバイスの両方に関して、複数の要素をもって認証と認可が行われるというゼロトラストの典型的な適用例です。しかし、この例では、明らかに一方の要素が他方に影響を与えています。「通常は」貸与されたラップトップからソースコードにアクセスするユーザーが、「通常ではない」私用のモバイルデバイスからでは許可されませんでした。さらに、この組織は認証されたユーザーが信頼されたデバイスならどこからでもコードをコミットすることを望んでいません。組織から貸与されたデバイスのみを使用することをユーザーに期待しています。

　ユーザーとデバイスのアクセスを相互に関連付ける考え方は、ゼロトラストがもたらす新しい特徴の1つです。ゼロトラストネットワークでは、ユーザーとデバイスを単に切り離して考えるだけでは不十分です。ポリシーを正確に適用するには、これらを組み合わせて評価しなければなりません。そこで、システム上でエージェントを正式に定義し、ユーザーとデバイスの関係性を把握・管理することで、ポリシー決定に必要な判断材料として活用できます。 ...