VPN登録で来社を求められる理由

VPNアカウントのために本人が来社するよう求められると、技術的な制約のように感じられますが、まったくそうではありません。トンネルプロトコルは、あなたがどこに立っているかについて何の意見も持ちません。来社が実装しているのは身元に関する判断であり、組織の誰かが、資格情報を受け取る人物が記録上の人物であると納得する必要があります。どの判断にその確証が必要なのかを理解することが、旅についての議論を解決可能な問題に変えます。

似て見える三つの要求

新入社員には身元の確立、資格の確認、アクセスの承認が必要であり、そのいずれも証明書の申請やメールに表示された名前から導かれるものではありません。既存の利用者がパスワードを変更する場合には、変更を認証する承認済みの方法が必要であり、これまた別の問いです。受け入れ済みの認証要素をすべて失った人には復旧が必要であり、これは要求している人物が通常なら止めるはずの証拠を置き換えようとするなりすましである可能性があるため、三つのうちで最も危険です。

これらの事例は、既定で一つの非公式な手続きを共有すべきではありません。従業員番号を持っていることや、未確認のメールボックスにアクセスできることは、組織が選んだ確認の代わりにはなりません。

来社が証明することと証明しないこと

身元の証明は場所ではなく、段階のあるプロセスです。NISTの身元証明ガイドラインのような指針は、身元の解決、その背後にある証拠の検証、そして申請者がその証拠の示す人物であることの確認を分けています。各段階は立ち会いの有無、遠隔か対面かを問わず、確証はそれらすべてがどう実行されるかにかかっています。段階を飛ばすことはリスクについての判断であり、書類仕事の近道ではありません。

オフィスに立っていること自体は、これらの段階を一つも実行しません。ビデオ通話もそれ自体では一つも実行しないため、遠隔のプロセスが自動的に弱いわけでも、対面のプロセスが自動的に完全なわけでもありません。

確証を担うのは訓練された運用担当者、証拠の取り扱い、技術的な統制であり、場所はそれらをどう適用できるかを制約するだけです。訓練を受けていない担当者のいるオフィスの机は、強いプロセスではありません。

承認された代替手段を求める

旅が本当に現実的でない場合は、指定された所有者に、承認済みの遠隔または復旧の方法がすでにあるかを確認してください。個々の管理者と例外を交渉してはいけません、なぜならそれは誰も監査できない資格情報と、誰も同意していない前例を生むだけだからです。承認された経路は通常、最近誰も求めていなくても文書化されています。

対面の段階が必要な場合は、それが正確にどの段階を満たすのかを確認してください。証拠を検証する来社と、署名に立ち会う来社は別の要件であり、両者には異なる代替手段があります。

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

後続の段階を明示的に保つ

検証はプロセスの終わりではありません。アクセスの承認、資格情報の紐付け、配布にはそれぞれ独自の記録が必要であり、想定する端末とリソースの範囲は推測ではなく書き留めるべきです。

復旧できない利用者は非公式な経路を見つけるため、承認された復旧経路も維持してください。露出した資格情報は、その実際の削除プロセスを通じて扱ってください。来社の完了やパスワード変更はそれ自体では他の有効なセッションを取り消さず、ほとんどのインシデントが続くのはこの隙間においてです。

したがって所有者に持ち帰る問いは狭いものです：どの判断に対面での確証が必要なのか、そして旅が不可能なときに同じ確証に到達する承認済みの方法は何か。この問いには答えられますが、旅についての不満には答えられません。