ゼロトラストアーキテクチャの実現に求められるデバイス管理事例【ビジネス・コンシェルデバイスマネジメント編】

～「決して信頼せず、常に検証する」という原則に基づくゼロトラストアーキテクチャ実現のポイントとは？～

企業を取り巻く IT 環境とサイバーセキュリティの課題が複雑化しています。従来の境界防御型セキュリティでは、クラウドサービスの普及やリモートワークの拡大に対応できず、外部からの不正アクセスに加えてサプライチェーン攻撃などのリスクも増大しています。このような背景から、「決して信頼せず、常に検証する」というゼロトラストアーキテクチャの重要性が高まっています。本ブログでは、「ゼロトラストアーキテクチャの実現に求められるデバイス管理」という観点から、ゼロトラストの原則に基づいたセキュリティアプローチについて解説します。

ゼロトラストアーキテクチャのイメージ画像

ゼロトラストアーキテクチャの実現が求められる背景と課題

境界防御型セキュリティ対策とは異なる視点でデバイス管理を含めた強固な対応が求められる背景には、急速に普及しているクラウドサービスの利用があります。また、柔軟な働き方に求められるテレワークやモバイルワークの普及、そして多様なデバイスを活用した DX 推進のためにも、クローズネットワーク（社内ネットワーク）に加えてオープンネットワークを積極的に活用していく必要があります。そのため、ID とパスワードに加えた多要素認証への取り組みをはじめ、多様なデバイスと OS の管理、利用されているデバイスの可視化とそのインベントリ管理（組織内の IT 資産に関するあらゆるデータを一元管理し可視化する仕組み）、ユーザー認証とデバイス認証の連携など、取り組まなければならない課題が多岐にわたります。
まず、多様なデバイスと OS の管理においては、BYOD（Bring Your Own Device：個人が所有するスマートフォン、PC などの端末）の普及や IoT デバイスの増加により、管理対象となるデバイスの種類や OS が多様化し、一貫したセキュリティポリシーの適用や管理が複雑化しています。その結果、最新のセキュリティアップデートの適用状況の把握が困難になるといった問題も発生しています。

複雑なデバイス管理や連携を支援する、法人向け「ビジネス・コンシェルデバイスマネジメント」

ネットワークに接続される全てのデバイスを正確に把握し、継続的に監視する必要があります。特に、システム管理者が認識していない未管理のデバイス（シャドー IT）は、セキュリティリスクを高めます。加えて、デバイスの構成情報、セキュリティパッチの適用状況、ソフトウェアのインストール状況などを常に最新の状態に保つための仕組みが求められています。
そして、デバイスのセキュリティ状態を維持するための継続的な監視と、必要に応じた修復プロセスを推進するためにも、ユーザー認証だけでなく、デバイス自体の信頼性を確保する必要があります。不正なデバイスからのアクセスを防ぐために、ユーザーとデバイスの両方をマネジメントする仕組みが重要になります。
ゼロトラストアーキテクチャを実現するためには、複数のセキュリティソリューションを連携させる必要があり、統合的な管理プラットフォームや自動化ツールの導入が求められます。そうした複雑な管理や連携をサポートする一助として、「ビジネス・コンシェルデバイスマネジメント」があります。

デバイス管理からユーザー管理、アプリケーション管理を実現する「ビジネス・コンシェルデバイスマネジメント」の導入効果

ソフトバンクが自社で開発し提供している法人向け MDM サービス「ビジネス・コンシェルデバイスマネジメント」は、スマートフォンやタブレット、PC などの端末管理に必要な機能を備え、安心・安全な運用管理をサポートします。一般的な MDM は「デバイス管理」がメインですが、「ビジネス・コンシェルデバイスマネジメント」では、「ユーザー管理」と「アプリケーション管理」も提供しています。国内で 17,000 社を超える導入実績があり、政府機関の情報システム管理基準を満たした ISMAP 認定を取得し、通信事業者として世界初となる Android Enterprise Recommended などの各種認定資格を得ています。また、アイデンティティ管理のリーディングカンパニーである Okta, Inc. と、マルチテナント型マネージドサービスプロバイダー（MSP）パートナーの日本国内における 2 年間の独占契約を世界で初めて締結し、Okta のシングルサインオン（SSO）や多要素認証、ユーザー管理などの機能を実装しています。「ビジネス・コンシェルデバイスマネジメント」は、MDM 機能と IDaaS 機能を兼ね備えたプラットフォームにより、誰（ユーザー管理）が、どのデバイス（デバイス管理）から、どのアプリケーション（アプリケーション管理）を利用しているかを的確に把握して、情報漏洩などの原因特定を容易にします。また、IDaaS 機能により、ID・パスワード管理や生体認証・ワンタイムパスワードなどの多要素認証（MFA）、認証・認可などにより「なりすまし」や私的利用による情報漏洩リスク対策などの機能を提供し、ゼロトラストアーキテクチャの理想的なモデルを実現します。

ビジネス・コンシェルデバイスマネジメントのイメージ

ゼロトラストモデル構築に貢献するデバイス証明書

「ビジネス・コンシェルデバイスマネジメント」が不正デバイスからのアクセスを防御するためにデバイス証明書を採用している背景について、ソフトバンクの持田敦也氏は次のように説明します。

ソフトバンク株式会社持田敦也氏の写真

ソフトバンク株式会社
AI プラットフォーム開発本部セキュリティ事業第 1 統括部
セキュリティデザイン推進部プロモーション企画課
担当課長持田敦也氏

「デバイス証明書は、社員に貸与している PC やスマートフォンなどの端末が正規のものであるかを認証する根拠となります。ゼロトラストアーキテクチャによるセキュリティ対策を万全なものとするためには、ユーザー ID とパスワードによる認証だけでは不十分です。もしも、ユーザー ID とパスワードがクレデンシャルフィッシングなどにより流出してしまえば、容易に悪用されてしまいます。しかし、デバイス証明書によってアクセスできる端末を制限していれば、『なりすまし』による不正アクセスをブロックできます。また、デバイスとユーザーを一元的に管理することで、セキュリティレベルを落とさずに管理工数も削減できます」。

ビジネス・コンシェルデバイスマネジメント

※（出所）ソフトバンク「ビジネス・コンシェルデバイスマネジメント（BCDM）」

信頼できるデバイス証明書にサイバートラストが選ばれる理由

ゼロトラストアーキテクチャを支える「ビジネス・コンシェルデバイスマネジメント」のデバイス管理にサイバートラストのデバイス証明書が選ばれている理由について、持田氏は次のように評価します。
「実際のオペレーションで、デバイス証明書を配付して認証が正しく行われているかを検証するためには、かなりの手間がかかります。そのため、デバイス証明書の利用が効果的だと理解していても導入できる企業は限られていました。しかし、『ビジネス・コンシェルデバイスマネジメント』では、サイバートラストのデバイス証明書を利用することで、エンドユーザーに手間や負担をかけずに信頼できるデバイスの認証を実現しています。また、サイバートラストのデバイス証明書は、iOS をはじめとして Android に Windows、macOS など各種モバイルデバイスで利用されている OS に対応している点も高く評価しています。さらに、電子認証局の国内最長の運用実績があり、電子証明書に関する知見も多くあることが採用理由のひとつです」。

ゼロトラストアーキテクチャの実現に求められるデバイス管理では、「ビジネス・コンシェルデバイスマネジメント」のような MDM を活用し、デバイス証明書による厳密なデバイス認証を組み合わせることで、信頼できるセキュリティ対策を実現できます。