サウジアラビアの仕事用VPN：アクセスを申請する前の三つの質問

二回目のログインが拒否されたり、社内アプリケーションがブロックされたりしても、トンネルが壊れていることを示すことはほとんどありません。仕事用VPNが強制するのは、アカウントが何に到達できるか、いくつのセッションを保持できるか、どの社内サービスが遠隔ユーザーに公開されているかという三つの別個の事柄です。それぞれの所有者が異なるため、この三つの質問を順番に尋ねてください。NCAのテレワーク導入ガイドラインのような公開された枠組みは、会話のための有用な枠組みであり、誰かの法的立場についての判定ではありません。

第一に：このアカウントは何に到達することを許されているのか？

アクセス権はシステムの機微性、アクセスレベル、許可されるデバイスの種類によって定義され、これらは組織的な決定であってトンネルの性質ではありません。パスワードを持っていることは、接続を確立してよいかどうかに答えるだけです。アカウントが文書を開けるか、サーバーを管理できるか、コントローラーを変更できるかは示しません。ネットワーク全体へのアクセスではなく、意図するリソースと操作を求めてください。

行き先として表現された要求は、感覚として表現された要求より承認されやすいものです。だからこそ最初の質問はネットワークではなくリソースについてです。

NCA 2-2-1-1はアクセス権をまさにこの三つの次元に結びつけており、だからこそ答えはシステムと操作を名指しする必要があります。同じ論理はゼロトラストの指針にも現れます：ネットワーク上の位置は認可ではありません。企業VPN上のユーザーも自宅回線上のユーザーも同様に認証され得ますが、それでもアプリケーションが各自に何を許すかを決めます。

第二に：同時にいくつのセッションを実行できるのか？

同時遠隔アクセスは別個の統制であり、NCA 2-2-1-2は例外の承認経路と併せてこれを扱っています。組織はこれをしばしば制限し、ときにアカウントあたり一つのアクティブセッションに限ります。上限は運用者が設定するポリシーの数値であり、プロトコルの定数ではないため、組織の外部の誰もその値を教えることはできません。誰も閉じられない古いセッションは、それ自体で報告する価値のある運用上の問題です。

二台目のノートPCが拒否された場合、通常の説明は最初のセッションです。運用者がセッションをどう識別し、古いセッションがどう閉じられるかを尋ねてください：アイドル状態のセッションを失効させるシステムもあれば、明示的に終了するまで保持するシステムもあります。その答えが届く前に、クライアントを再インストールしたり、プロファイルを差し替えたり、出口を変更したりしないでください。

第三に：どの社内サービスが公開されているのか？

遠隔アクセスは通常、定義された一連のサービス、プロトコル、ポートを公開し、NCA 2-4-1-1はその集合を遠隔作業が実際に必要とするものにとどめています。一覧はプライベートネットワークより小さく、それは意図的です。広い要求は正当化しにくく、後から見直すのはさらに難しいため、広い到達性を求めるのではなく、必要なサービスとポートを尋ねてください。

サポート依頼には、アカウントの役割、承認されたデバイス、対象サービス、障害の時刻、秘密でないエラーテキストを含めるべきです。グループチャットで最初に答えた人ではなく、組織のチャネルを通じて送ってください。所有者がポリシーとログを確認するにはそれで十分です。パスワード、リカバリーコード、秘密鍵はそこに含めるべきではありません。

答えが「いいえ」のときどうするか

拒否は多くの場合、安全保障上の判定ではなく、範囲の不一致です。サービスがオフィスのアドレスにしか公開されていないか、トンネルが機能していても役割にその操作がないのかもしれません。三つの質問のどれが失敗したかを尋ねれば、たいてい解決策は明らかになります。例外が必要なら、回避するのではなく所有者に記録を求めてください。

テストを通すために同僚のセッションを借りたり、クライアントの検査を無効にしたり、未承認の出口に通信を流したりしないでください。そのいずれも、監査できる拒否を誰も監査できない成功に置き換え、次のレビューがその違いを見つけます。承認された例外は遅い代わりに監査に耐えます。

所有者に持っていく質問

通話の前に書き留めてください：このアカウントが承認されているリソースと操作、同時セッションのポリシーと古いセッションの整理方法、遠隔ユーザーに公開されている社内サービスとポート。ガイドラインは改訂され、内部ポリシーは公開された基準より厳しいことがあるため、所有者に現在の適用可否を確認してください。組織にデバイスの要件があれば、それも加えてください。

統制の枠組みは、正確な質問をする助けになります。それは活動を認可するものではなく、運用者の答えに代わるものでもありません。

次の変更が提案されるとき、答えを同じ所有者に持ち帰ってください。それによって、一度きりの承認が誰かが維持するポリシーになります。