GoogleとOktaでブラウザセキュリティのギャップを埋める

ブラウザは今日の主要なワークポータルです。ほとんどの企業アプリケーションと機密データは現在、SaaSおよびその他のクラウドサービスの背後に存在し、Chrome、Edge、Safariなどのブラウザを通じてアクセスします。

これにより、ブラウザは単なるアプリケーションから重要なポリシー適用ポイントに昇格し、ブラウザのセキュリティが最新のゼロトラストアーキテクチャの基礎的な要素になります。ただし、企業ブラウザのセキュリティを損なうギャップが 1 つあります。それは、従業員が個人用プロファイルを使用して企業データにアクセスすることです。

個人用と仕事用のブラウジングを混在させると、過大なリスクが生じます。管理されたブラウザプロファイルは、ユーザーエクスペリエンスを犠牲にすることなく、制御を取り戻すのに役立ちます。GoogleとOktaは、管理されたChromeプロファイルを実用的な規模にするために提携しました。

個人プロファイルが問題である理由

BYODとハイブリッドワークにより、個人のデバイスとブラウザのプロファイルを仕事で使用する習慣が一般的になりました。企業の端末では、ユーザーはブックマークやパスワードを同期するために、個人のChromeまたはEdgeプロファイルにサインインすることがよくあります。しかし、その利便性には代償が伴います。職場での個人のブラウザ使用における主なリスクは次のとおりです。

• クレデンシャル漏洩：個人プロファイルを使用すると、仕事用パスワードを個人のパスワードマネージャーに簡単に保存し、企業の監視外で同期させることができます。個人アカウントまたはデバイスが侵害されると、攻撃者は企業のログイン情報を継承します。パスワードの管理が不十分だとリスクが増大します。多くの従業員が個人用と仕事用でパスワードを使い回したり、仕事用パスワードをブラウザに直接保存したりしています。
• 安全でない、または検証されていない拡張機能：ブラウザの拡張機能は普及しており、強力です。多くは、サイトデータの読み取りと変更、キーストロークのキャプチャ、Cookieへのアクセス、ローカルファイルとのやり取りの許可を要求します。従業員は、レビューなしに、役立つツールから危険なアドウェアまで、あらゆるものを個人プロファイルにインストールできます。これにより、データ流出、認証情報の収集、セッションハイジャックの信頼できる経路が開かれます。個人のプロファイルは拡張機能の許可/拒否リストの外にあるため、防止とフォレンジックの盲点になります。
• ポリシー回避とシャドーIT： ウェブフィルタリング、ダウンロード制限、データ損失防止（DLP）などの制御は、多くの場合、管理されたブラウザコンテキストに付加されます。個人のプロファイルは、これらの制御を回避する可能性があります。ユーザーは、ブロックされたサイトにアクセスしたり、企業のファイルを個人のドライブにアップロードしたり、承認されていないSaaSサービスを使用したりできます。このアクティビティはSIEMに表示されず、信頼できる監査証跡がないため、修復が困難になります。

マネージドブラウザプロファイルの場合

解決策は、明確な分離を作成することです。仕事関連のブラウジングをすべて企業管理下に置き、個人的な使用はそのままにします。管理対象ブラウザプロファイルは、ポリシーを適用し、アイデンティティスタックをサポートし、セキュリティチームが必要とする可視性を提供すると同時に、従業員が個別の個人プロファイルを維持できるようにします。Googleの管理対象Chromeプロファイルはまさにこれを実現し、Google管理コンソールを介して簡単に構成し、Oktaと連携させることができます。

管理対象プロファイルのコントロールポイントは一貫性があり、包括的です。IDとサインインは専用のワークプロファイルに固定され、企業のシングルサインオン（SSO）（例：Okta）で認証されます。これにより、仕事の資格情報、トークン、Cookieが個人のコンテキストから分離されます。管理者は、多要素認証（MFA）を強制し、個人用Vaultへのパスワードの保存を無効にし、認証中にデバイスのポスチャを確認できます。Webフィルタリング、セーフブラウジング、DLP強制、証明書ピニング、VPNまたはSASEルーティングなどのセキュリティポリシーを、ワークプロファイルに直接適用し、管理対象および管理対象外のデスクトップ全体で一様に適用できます。拡張機能の制御も一元化されており、ITチームは許可リストの定義、未検証のアドオンのブロック、および信頼できるツールの自動インストールを有効にできます。

管理されたブラウザプロファイルには、4つの明確な利点があります。

1. データの分離：仕事用の認証情報とセッションデータは管理対象プロファイル内に保持され、Cookie、拡張機能、パスワードなどの個人用ブラウジングアーティファクトは分離されたままになります。これにより、個人用アカウントまたはデバイスが侵害された場合のリスクが軽減され、意図しないデータ漏洩（機密ファイルを個人のクラウドストレージにアップロードするなど）を防ぎます。
2. 一貫したセキュリティポリシー：MFA（多要素認証）、DLP（データ損失防止）、ダウンロード制限、パスワード規則などのセキュリティ制御は、デバイスを越えてユーザーに適用されます。これにより、SaaSアプリへのアクセスは、企業所有または個人所有のマシンであるかどうかにかかわらず、管理対象プロファイルを通じて保護されます。
3. リスクの軽減と迅速な対応：組織は、個人プロファイルに保存された仕事用クレデンシャルや不正なクラウドアップロードなどの一般的な脅威を排除することで、攻撃対象領域を削減します。管理対象ブラウザテレメトリにより、インシデントの調査と対応が迅速化されます。
4. ユーザーエクスペリエンスの向上：管理されたプロファイルは、気を散らすものを最小限に抑え、シームレスにセキュリティを強化し、仕事と個人のブラウジングを分離します。ユーザーは、事前承認されたローカルネットワークアクセスポリシーとOkta FastPassなどのツールによるシームレスなSSOのメリットを享受できます。

つまり、管理されたプロファイルは、エンタープライズグレードのセキュリティと従業員の生産性のバランスを取ります。ユーザーがどこにログインしても、ブラウザを管理されていないリスクのある場所から、より安全でポリシーが適用されたワークスペースに変えます。

OktaとGoogleが展開をどのように簡素化するか

OktaとGoogleは、管理対象および非管理対象のWindows、macOS、Linuxデバイス全体への管理プロファイルの展開を実用的なものにします。ワークプロファイルのプロビジョニングは、ユーザーが企業の資格情報で認証できるように、OktaがChromeへのサインインをフェデレーションすることから始まります。初回サインイン時に、管理対象のChromeワークプロファイルが自動的に作成され、組織のポリシーにバインドされるため、デバイス管理ソリューションは不要になります。ステップごとのセットアップガイダンスについては、Sign into Chrome with Oktaを参照してください。ここでは、構成されたポリシーを自動的に受信するエンタープライズChromeプロファイルの作成について説明します。以下の例は、OktaダッシュボードからChromeプロファイルのセットアップを起動したときのエンドユーザーエクスペリエンスを示しています。

1. Oktaのエンドユーザーダッシュボードで「Setup Chrome Profile」アプリにサインインします。