BYOD の VPN アクセスはデータ保持の判断でもある

依頼は一文で届きます。この人は自分のノート PC から VPN を使えるのか、という形です。イエスかノーで答えても、ほとんど何も決まりません。質問の奥には三つの別々の許可が隠れており、それぞれ違う形で破綻します。トンネルは簡単な部分、データの判断は所有者が必要な部分と考えてください。

依頼を三つの許可に分ける

まず狭く有用な成果を書き出します。一つの文書コレクションを読む、名前の決まったアプリでレコードを編集する、特定のサーバを管理する、のいずれかです。そのうえで各許可を個別に決めます。

レビュー担当者が、共通ファイル共有へのアクセスも部門フォルダ全体を同期する権限もなしに、一つのコレクションへの読み取りアクセスを必要とする場合があります。広いサブネット経路ではそれを表せず、読み取り専用のアプリケーションアカウントも、画面に映るものを本人が残すことを止められません。

データの規則から作業環境を選ぶ

承認されたローカルコピーが本当に必要な場合は、どこに置けるか、どう保護するか、どれだけ残すか、誰が削除するかを定めます。バックアップと個人の同期サービスもその判断に含めてください。これらは独自の予定でファイルを再度複製するからです。後から VPN アクセスを取り消しても、すでに誰かのクラウドドライブにある文書は取り戻せません。

作業を管理された環境の内側に留めるべきなら、リモートデスクトップはファイルをローカルに置く必要性を減らします。ただし自動的なコピー禁止の境界ではありません。Microsoft の RDP プロパティのリファレンス は、クリップボードのリダイレクトとドライブのリダイレクトを別々に記述しています。デスクトップセッションが両方の経路を無効にすると決めつけず、導入環境で実際に効いているクライアント側とサービス側のポリシーを確認してください。

次に、明らかな経路の外側を見ます。アプリにはエクスポート機能があり、メールクライアントには添付ボタンがあり、画面に向けたスマートフォンのカメラは誰も修正できない持ち出し手段です。一つの経路を塞ぐのは実際の統制ですが、それをコピー防止の保証と呼ぶのは、守れないポリシーを書くやり方です。

許可された作業手順がデータ要件を満たせないなら、答えは管理された端末か別のアクセス方式です。トンネル内の暗号化は、本人が見えるものに対してできることを変えません。暗黙のままにせず、そのことを判断記録に書いてください。そうしなければ、次のレビュー担当者は同じ不足を抱えた同じ依頼を承認します。

端末の状態を証明書ではなく条件にする

組織が実際に評価し支援できる端点の要件を定めます。保守された OS、機能している保護、アカウントの保護策、対応済みのアクセスクライアントです。そのうえで、端末がそれらを満たさなくなったときに何が起きるかを明記します。これは誰もが書き忘れるポリシーの半分です。

• 状態の結果が示すのはその時点で確認した条件であり、ノート PC の将来の挙動ではありません。
• アプリケーションの認可とネットワーク制限は、入域後も有効なままです。
• 一度のスキャン完了から広いオフィスアクセスが導かれるわけではありません。
• 監視と管理の要件には、所有者の十分な理解に基づく同意が要ります。

従業員が受け入れていない統制、あるいは組織が運用できない統制に依存するポリシーは、境界ではなく文書です。そう明言し、不足を埋められない箇所では管理された代替を提示してください。

セッションとデータを誰が閉じるかを決める

承認の前に、アクセスの削除、紛失した端末への対応、ローカルに残る会社の資料の処理に責任を持つ人を名指しします。想定する作業を通常のアカウントで試し、設計上あるべきでない場所で無関係なリソースが使えないことを確認します。

完成した判断は四つの枠を持つ文として読めます。本人が何を使えるか、どの適格な端末から、どの入口を通って、どのローカルデータの許可で、という形です。これより短いものは VPN アクセスという語の横のイエスかノーであり、依頼の結果に関わる部分を答えないままにします。