ネットワーク所有者が承認できるリモートアクセス機器を提案する

リモートアクセス機器は、たとえ外向きに接続し、受信ポート転送を必要としなくても、顧客のネットワーク境界を変えます。インストールを容易にし、見落としやすくするのは、この外向きの方向です。ネットワークに入れる前に、アクセス設計の申請として提示してください。言及する必要のなかったこととして扱うことが、技術的な成功を契約上の問題に変える道です。

ネットワーク所有者は四つの質問をすると想定してください。何を、誰が、どこまで、そしてどう取り消すのか。

求めるのはサブネットではなくリソース

作業を所有者が使う言葉で説明します。どの人がどのサービスを、どの端末で、どれだけの期間必要とするのか。一台のホスト上の一つのアプリケーションに限定した申請は承認しやすいものです。サブネットの申請は、他人のセグメンテーションを組み替える申請です。

顧客はすでに承認済みの VPN、リモートデスクトップゲートウェイ、あるいは必要性を満たす管理サポート経路を運用しているかもしれません。まずそれを確認してください。既存の経路の再利用は通常、双方にとって最も安価な答えだからです。合わない場合は、なぜ合わないのかを正確に述べてください。その比較が提案の最も強い部分です。

機器が本当に必要な場合は、その所有者、ソフトウェアの出所、更新の手順、設置予定箇所を一緒に持参してください。

接続と、信頼が終わる場所を示す

機器、リモート利用者、仲介や中継があればそれも、そして保護対象のリソースを図にします。暗号化がどこで終わるのか、各端点を誰が管理するのかを記します。外向きのセッションも新しい制御経路を持ち込み、そのことが図で見えるようになります。通信が暗号化されているという説明は機密性の問いに答えるもので、認可の問いには答えません。

モードを明示してください。パケット転送、アプリケーションプロキシ、あるいは露出したデスクトップです。それぞれルーティングとホストの安全性への影響が異なり、機器が侵害されたときの失敗の仕方も異なります。

無関係な顧客ネットワークと、機器自身の管理インターフェースは承認範囲の外に置いてください。

利用者のアイデンティティと機器のアイデンティティを分ける

利用者の登録、機器のアイデンティティ、多要素認証、アプリケーションへのログインは四つの異なる統制であり、提案はそれぞれを名指しすべきです。共有の資格情報はよくある近道で、所有者は全員を乱さずに一人だけを取り消すことができなくなります。ログインはアプリケーション側に残すべきです。機器が認証するのは接続であり、その接続で何ができるかはサービスが決めます。

NIST のゼロトラストアーキテクチャはここで役立ちます。リソースへのアクセスを、ネットワーク上の位置の結果ではなく、明示的な判断として扱うからです。

設置前に復旧と撤去を取り決める

所有者は、自分が操作する統制によってアクセスを即座に止められるべきで、あなたへの電話によるべきではありません。資格情報の失効、機器の撤去、更新の責任、失効日または見直し日を書き留めてください。新しい遠隔経路に依存しないローカルの復旧経路を残します。ベンダーなしでは誰も撤去できない機器は、利便性の姿をした恒久的な依存です。

記録は釣り合いの取れた範囲で残します。承認されたアイデンティティ、アクセス範囲、重大な変更、関連する障害です。

無関係な閲覧履歴を集めることで機器の存在を示しても、良好な運用の証拠にはならず、所有者が決して求めていない義務を生みます。

成功した承認とはどんなものか

所有者とともに、許可する一つのサービスと、拒否されたままにする一つのリソースで設計を受け入れてください。その後半こそ人が飛ばす部分であり、境界が図の言うとおりの場所にあることを証明する唯一の部分です。失効も同じやり方で、機器が実際の業務を担う前に試してください。承認が得られない場合は、顧客の承認済みの代替手段を使うか、作業をローカルで行ってください。

つながる接続は、アクセス経路を作る許可ではありません。

承認をその範囲と有効期限とともに書き留め、所有者に写しを渡してください。そのネットワークに次に触れる人は記録を読みます。あなたの会話の記憶ではありません。