回復力のあるセキュリティアーキテクチャを構築するには、最新のデバイスアイデンティティ戦略が必要です。そして、そのアーキテクチャを運用可能にする鍵は、継続的な脅威検知と対応はデバイスを第一級のアイデンティティとして扱うことにかかっていると理解することです。しかし、プロアクティブな防御だけでなく、組織がデバイスアイデンティティのセキュリティ確保を優先すべき、同様に説得力のある3つ目の理由があります。それはコンプライアンスです。
PCI DSS、サイバー保険の要件、または業界固有の規制のいずれの対象であるかにかかわらず、デバイスアイデンティティのセキュリティに対する期待は劇的に変化しています。かつては「あれば望ましい」とされていたものが、今では監査人が積極的に精査するコントロールとなっています。堅牢なデバイスアクセス制御を導入していない組織は、今や風評リスクだけでなく、監査の不合格や規制当局による罰金の対象にもなっています。
このブログでは、デバイスアイデンティティのセキュリティをめぐるコンプライアンスの状況、規制当局がそれを重視する理由、そしてセキュリティと監査の両方の要件を満たすデバイスアイデンティティのセキュリティ戦略を構築する方法について解説します。
デバイス管理からデバイスアイデンティティセキュリティへの移行
長年にわたり、コンプライアンスフレームワークはユーザー認証、データの暗号化、アクセスログ記録に重点を置いてきました。デバイスは定期的に管理され、パッチが適用されていましたが、デバイスのアイデンティティとアクセス制御の間の連携は、これまで明示的でも厳格でもありませんでした。
しかし、その状況は変わりました。その理由は次のとおりです。
- デバイスの侵害とラテラルムーブメント：規制当局は、侵害に至る最短経路は最初の侵害行為そのものではなく、その後に起こる事象である場合が多いと理解しています。攻撃者が1台のデバイスにアクセスした場合、他のシステムにラテラルムーブメント（横方向の移動）を行うことは可能ですか？貴社では、そのラテラルムーブメントを可視化できていますか。それを止めることはできますか？
- サードパーティおよびサプライチェーンのリスク：多くの侵害には、エンタープライズのシステムにアクセスできる、セキュリティ侵害を受けたベンダーや契約社員が関与しています。現在、規制では、組織がリソースにアクセスする前に、契約社員が強力なパスワードを使用していることだけでなく、そのデバイスがベースラインのセキュリティ標準を満たしていることを確認するよう義務付けられています。
- 境界は消滅しました：規制当局は現在、デバイスはどのデバイスも自動的には信頼されないゼロトラスト環境で運用されなければならないと理解しています。規制当局は、企業がデバイスのアクセス、ポスチャーの変更、セキュリティイベントに関する包括的なログを維持することを求めています。インシデントイベント発生時に、デバイスを継続的に監視し、何が起こったかを再構築できるという証拠を提示することが求められます。
コンプライアンスシナリオ：デバイスアイデンティティのセキュリティが最も重要となるケース
デバイスアイデンティティのセキュリティは、サードパーティの契約社員アクセスのセキュリティ確保、規制対象の機密データの保護、包括的なフォレンジックログによるインシデント対応の迅速化など、主要なシナリオでコンプライアンスを実証するために不可欠です。
シナリオ1：サードパーティおよび契約社員のアクセスのセキュリティを確保する
契約社員が特定のシステムにアクセスできるようにする必要がありますが、彼らが使用するデバイスは貴社の管理下にありません。どのようにセキュリティを検証しますか？
最低でも、契約社員に対して、ベースラインのポスチャ要件（たとえば、暗号化が有効、最新のOSパッチが適用済み、エンドポイント保護が有効など）を満たすデバイスの使用を義務付けることができます。OktaのDevice Assuranceポリシーは、Oktaで保護されたリソースへのアクセスを許可する前に、契約社員のデバイスのコンプライアンスを検証し、デバイスがコンプライアンスに準拠しなくなった場合にアクセスを制限するのに役立ちます。どの請負業者のデバイスが、いつ、どのシステムにアクセスしたかを示す完全な監査ログがあれば、サードパーティのリスク管理策を導入していることを証明できます。
シナリオ2：規制対象データや機密データへのアクセスを保護する
組織が規制対象データや機密データ（個人を特定できる情報（PII）、保護対象保健情報（PHI）、ペイメントカードデータなど）を処理する場合、規制当局は多くの場合、そのデータへのアクセスを承認済みのユーザーとデバイスの両方に紐付けること、そしてデバイスへのアクセスがセキュアであることを証明できることを要求します。Okta Device Accessは、デバイスに紐付けられたシングルサインオン（SSO）をサポートしており、アプリケーションへのアクセスをハードウェアレイヤーに結び付けます。また、デバイスとアプリケーションの両方のログイン時に多要素認証を適用することで、クラウドとデバイスのローカルに保存されているデータを保護します。
動画：Okta Device Accessでデバイスアイデンティティのセキュリティを確保する
シナリオ3：インシデント対応とフォレンジックの迅速化
侵害やセキュリティインシデントが発生すると、監査人は何が起きたのかを正確に把握する必要があります。どのデバイスが関与していましたか？攻撃者はどのようにラテラルムーブメント（横方向の移動）を行ったのですか？侵害のスコープはどのようなものでしたか？この分析には、デバイスアクセス、ポスチャーの変更、セキュリティイベントに関する包括的なログが必要です。OktaのIdentity Threat Protectionは、すべてのセッションにおける異常や通常とは異なるふるまいを評価して対応し、Okta Device Accessによるデバイスのログアウトなどのアクションを自動的にトリガーして、インシデントを迅速に封じ込めます。
導入事例：ProAssurance社、NYDFSコンプライアンスにOktaを活用
ProAssuranceは、医療賠償責任保険とリスクマネジメントソリューションのリーディングカンパニーとして、いざというときに信頼できる補償を提供しています。その安心を提供するためには、アイデンティティとデータのセキュリティが不可欠です。そのため、ニューヨーク州金融サービス局（NYDFS）のサイバーセキュリティ要件に対応するにあたり、ProAssuranceはOktaを利用して自社のIdentity Security Fabricを強化しました。
現在、ProAssurance社はOkta Identity GovernanceなどのOkta製品を活用してアクセスレビューを実施し、ユーザーに適切な権限が付与されていることを確認することで、セキュリティとコンプライアンスを強化しています。ProAssuranceは今後、Identity Security Fabricを強化し、Okta Device Accessを導入してデバイスログイン時のセキュリティレイヤーを追加し、NYDFS要件の今後の変更に対応することで、セキュリティ成果をさらに高めることを目指しています。ODAを活用することで、ユーザーのデバイスが同社の高いセキュリティ基準を満たしていることを保証すると同時に、デバイスからアプリまで摩擦のないログインエクスペリエンスを提供できるようになります。
デバイスアイデンティティのセキュリティを有利に活用しましょう
OrganizationsがデバイスアイデンティティのセキュリティをIdentity Security Fabricの基本要素と位置付けているOrganizationsは、インシデント対応の迅速化、監査業務の軽減、サイバー保険料の削減といったセキュリティ成果を達成しやすくなります。サイバー保険会社は、高度なデバイスアクセス制御を導入している組織に対して、より有利な保険料率を提示することがよくあります。これは、こうした制御によって侵害リスクが低いと判断されるためです。
包括的なデバイスアイデンティティのセキュリティ戦略を導入することで、組織は規制要件への対応を強化すると同時に、根本からレジリエンスの高いセキュリティアーキテクチャを構築できます。そうすることで、コンプライアンスを負担から戦略的優位性へと変えることができます。
コンプライアンスを競争のEdgeに変えませんか？デバイスアイデンティティ戦略の構築と実行を開始するのに役立つ、以下のリソースをご覧ください。
- 戦略を定義する：『A Framework for Securing Device Identities at Scale』をダウンロードして、人間と人間以外のアイデンティティを広範なセキュリティプログラムに組み込むための包括的なチェックリストをご確認ください。
- デスクトップのセキュリティを確保する：Okta Device Accessソリューション概要で、Oktaのシンプルでセキュアな認証機能をWindowsおよびmacOSのコンピューターログインに導入する方法をご確認ください。
- 動的なポリシーを適用：Okta Adaptive MFAのデータシートで、コンテキストに応じたアクセスを実装し、リスクシグナルが変化したときに動的にステップアップ認証を行う方法をご確認ください。
このブログに記載されている将来の製品、機能、性能、認定に関する記述は、情報提供のみを目的としています。これらの項目は、将来の提供を約束するものではなく、購入決定の判断材料として使用しないでください。
