顧客 VPN アクセス：特権作業には専用デバイスを

接続プロファイルには Production と書かれ、トンネルが上がり、デスクトップ上のどのウィンドウからも顧客のシステムに到達できる。その手順のどこにも、特権セッションを隣のブラウザタブから切り離すものはなかった。VPN プロファイルとは名前とルートの集合にすぎない。本当に重要な境界は、デバイス ID、統制された実行環境、資格情報の経路から作られる。この三つは別々の場所で強制されるため、一つだけ足して他を飛ばすと、準拠しているように見えてそうでない設計になる。

プロファイル名は境界ではない

トンネルが上がるとクライアントはルートと DNS 設定を適用し、その後その端末で動くものはすべて両方を引き継ぐ。

ドロップダウンの名前が変えるのは運用担当が認識するものだけで、OS が許可するものではない。

ゲートウェイが確認できるのはデバイス ID

デバイス証明書やポスチャチェックに対応したゲートウェイは、人だけでなく端末も認証する。パスワードが入力される前に、未管理のノート PC からの接続を拒否できるのはこの層である。デバイスを紛失したときに具体的に失効させられるものも与えてくれる。一つの証明書を三台に複製すると、まさにその性質が失われる。だからこそ証明書のライフサイクルは共有フォルダではなく合意の中に置く。

どの統制が必要かは顧客のポリシーが決める。ベンダー製の仮想マシンはポスチャチェックをまったく満たさないこともある。

仮想マシンの境界が漏れるところ

仮想マシンは顧客のツールとネットワーク状態を一つにまとめるので、確かに便利だ。しかしホストとハイパーバイザーに依存し、いくつもの便利機能が境界を越える。共有フォルダ、クリップボード連携、資格情報エージェント、ホスト階層の管理アクセスである。日常使いのホスト上の特権ゲストは独立して信頼できない。ホストはゲストの行動を観察できるからだ。仮想マシンは露出を減らす統制として扱い、独立したセキュリティ領域とはみなさないこと。

専用の物理デバイスはホスト依存をなくす代わりに、保守の義務を加える。

資格情報と受け渡し経路

技術者ごと、顧客ごとに個別で失効可能な ID を使い、個人のブラウザプロファイルやチャット履歴から遠ざける。チーム全体で共有する資格情報は、帰属も更新も失効もきれいにできない。最初のセッションの前に、ツール、ファイル、診断出力の受け渡し経路を決めておくこと。場当たり的なファイル移動こそ、境界が静かに境界でなくなる道だからだ。同時に二つの顧客へ届く必要があるなら、先にネットワークと ID の分離を承認してもらう。

その日の午後に楽だったという理由だけで、二つの顧客ネットワークを一つのワークステーションで橋渡ししてはいけない。

再現可能にする合意

顧客ごとに短い記録を書く そして双方が見つけられる場所に置く。承認されたデバイスまたはリモート環境とその保守担当者、許可された ID、それらが到達できるシステムと操作、受け渡し経路、セッションの通常の終わり方を記す。

人が入退社するたびに誰かが見直す五行は、誰も適用できないポリシーに勝る。

• 承認されたデバイスまたはリモート環境と、名前を挙げた保守責任者。
• サポートに許可された個別のユーザー ID とデバイス ID。
• それらの ID が到達できるシステムと操作。
• ツール、ファイル、診断出力に許可された経路。
• セッション終了の手順と、承認済みの緊急代替手段。

資格情報を動かさない緊急アクセス

統制が緊急の修理を妨げるとき、通るべきは例外手続きであり、同じ資格情報を載せた二台目のノート PC ではない。承認された例外は、誰が認めたか、何を緩めたか、いつ終わるかを記録する。資格情報を日常使いの端末へ移すと、最悪のタイミングで境界が変わり、そのまま元に戻らないことが多い。緊急経路は、何も壊れていないうちに訓練しておく価値がある。

その後は合意どおりにセッションを終え、アクセスが実際に止まったことを確認する。