ゼロトラスト: ポリシーによってすべてをまとめる

※この投稿は米国時間 2021 年 8 月 17 日に、Google Cloud blog に投稿されたものの抄訳です。

これまでの投稿をご覧になった方なら、Cloudy の説明によって、ID、フィッシング耐性のある認証、ユーザーとグループを承認するための適切なルール、デバイスの状態チェックについてしっかりご理解いただけているかと思います。これらはすべて、クラウド環境のソフトウェア、データ、プロセスを従業員やエンドユーザーにとって安全なものにするためのものです。

これまでの投稿を振り返りたい場合は、gcpcomics.com で全シリーズをご覧いただけます。

貴社のシステム、サービス、アプリケーションを踏まえて、具体的なリスクと目標に適したポリシーを設定しましょう。

今号では、Cloudy と Dino がポリシーを使用してすべてをまとめた方法と理由がわかります。

ルールとポリシーを定義するこのプロセスには、セキュリティ チーム、ID チーム、アプリケーション オーナー、コンプライアンスおよびその他の内部グループ間のコラボレーションが必要になります。

適切なポリシーを設定するということは、SaaS アプリケーションなどの内部サービスや企業リソースへのアクセスのために組織が確立する適切なレベルの信頼を、ユーザーがいつどのように獲得するかを正確に決定することを意味します。信頼レベルのフレームワークは、実際には非常にシンプルにすることもできます。次にフレームワークの例を示します。

1. 高: すべてのセキュリティ ポリシーと推奨事項に沿った最も信頼性の高いレベルで、最も安全なサービスにアクセスできます。

2. 中: 一部のポリシーを遵守していない場合の信頼は制限されます。

3. 低: インベントリに登録されているが適切にセットアップされていないデバイスや、問題があり修復が必要なデバイスに有用です。

4. なし: 不明または認識されていないデバイスのデフォルト状態。

Google は、過度に単純化して効果を弱めることなく、ポリシーを可能な限りシンプルにしたいと考えています。そのため、より詳細なポリシーが必要な場合や、ロール、データストア、オフィスに関する特定の規制要件がある場合は、ニーズに合わせてポリシーを柔軟にカスタマイズできます。

最新のセキュリティ モデルを実装して、信頼できるデバイスの承認されたユーザーのみが特定のリソースにアクセスできるようにすることで、組織のセキュリティ体制を強化できます。今すぐ Google Cloud を活用してユーザーとアプリケーションを保護し、ゼロトラスト アクセスを実装しましょう。

リソース

詳細情報と、これらを自分で設定する方法については、以下をご覧ください。

• BeyondCorp Enterprise

• Access Context Manager の概要

• アクセスレベルの管理

• Chrome 向け Threat and Data Protection

-Google デベロッパー アドボケイト Priyanka Vergadia

-Google Cloud デベロッパー アドボケイト Max Saltonstall