Chrome Enterprise Premium で進めるゼロトラスト・リモートワーク

こんにちは、クラウドエースの小勝です。

働き方の多様化を背景に、リモートワーク環境の整備が広く求められています。自治体や金融機関など、高いセキュリティ要件を持つ組織では、業務システムへの安全なアクセスや業務データの漏えい防止が課題になります。特に自治体では、情報システムのネットワークを β・β’モデルへ移行する動きを背景に、こうした環境整備を検討する動きが増えています。

リモートワークの実現には、VPN や画面転送による接続、ブラウザから業務システムへアクセスする方法など、いくつかの選択肢があります。本コラムでは、その中でもブラウザから安全に業務システムへアクセスする方法に焦点を当て、ゼロトラストと Chrome Enterprise Premium で進めるリモートワークの仕組みと導入時のポイントを紹介します。

ゼロトラストによる業務システムへの安全な接続

1.ゼロトラストの必要性

従来の境界型セキュリティでは、組織内を信頼できる領域、組織外を信頼できない領域とみなし、ファイアウォールや VPN などで境界のアクセスを制御します。しかし、リモートワークやクラウドサービスの普及により、組織のデータは社内だけではなく社外にも置かれるようになり、社内外の境界が曖昧になっています。このような課題に対して、従来の境界だけを基準にしてアクセスを制御することは難しくなります。

そこで重要になるのが、「何も信頼しない」ことを前提にあらゆるアクセスを検証する「ゼロトラスト」という考え方です。

ゼロトラストでは、アクセスのたびに利用者や接続元を検証し、条件を満たした場合だけ対象システムへのアクセスを許可します。接続する場所に依存せずに判断できるため、安全性を確保しながらリモートワークやクラウドサービスを利用できます。

2.Chrome Enterprise Premium と Google Cloud でアクセスを制御する

このゼロトラストの考え方を、Chrome ブラウザから Web 業務システムへアクセスする仕組みに適用したのが、Chrome Enterprise Premium です。Chrome Enterprise Premium は、Google Cloud のサービスと組み合わせることでアクセス制御をしています。

図のように、Chrome ブラウザから Web 業務システムへアクセスする際は Google Cloud を介して、「誰が」「どのデバイスから」アクセスしているかを検証することで、アクセスを許可します。

-「誰が」の検証：
ID、パスワード、多要素認証などを通じて、本人であることを確認します。

-「どのデバイスから」の検証：
管理者から承認されているか、ストレージが暗号化されているかなどを確認します。

このように、Chrome Enterprise Premium では、ゼロトラストの考え方に基づいてユーザーとデバイスを検証し、Web 業務システムへの安全なアクセスを実現します。

VPN 方式では、同時接続数に上限があることに加え、ユーザーが事前設定や接続操作を行う必要があります。画面転送方式も同時接続数の制約があり、ライセンス費用が負担になることがあります。

これに対し、Chrome Enterprise Premium を利用したリモートワークでは、接続数の上限はなく、Google アカウントでログインするだけで業務を始めることができます。リモートワーク者の増加にも対応しやすく、画面転送方式と比べてライセンス費用を最適化できる場合があります。

3.Google Workspace のアプリにもゼロトラストを適用する

Chrome Enterprise Premium は、Google Workspace と併せて導入されることもあります。Google Workspace でも、Gmail、Google Drive、Google ドキュメントなどのアプリに対して、ユーザーやデバイスの状態に応じたアクセス制御を適用できます。

たとえば、ストレージが暗号化された端末からだけ Google Drive や Google ドキュメントへのアクセスを許可できるようにするといったことができます。このように、Google Workspace のアプリもゼロトラストの考え方に基づいて利用を制限できます。

Chrome ブラウザを業務の入口として管理する

近年は Web 業務システムや SaaS、メール、チャット、ファイルの共同編集など、多くの業務をブラウザ上で行います。生成 AI の利用も広がり、ブラウザを通じて組織のデータを扱う機会が増えています。

個々の業務システムだけではなく、それらを利用する共通の入口であるブラウザをセキュリティ層として管理することの重要性が高まっています。Chrome Enterprise Premium では、業務用の Chrome ブラウザを組織で管理し、セキュリティを確保することができます。

ここでは、Chrome Enterprise Premium の主なセキュリティ対策のポイントを 2 つに絞って紹介します。

1.セキュリティポリシーと脅威対策

1 つ目のポイントは、セキュリティポリシーと脅威対策によって、ブラウザを安全に利用できる環境を整えることです。

組織のルールに応じて、Chrome ブラウザの設定や拡張機能の利用を管理できます。たとえば、業務に必要な拡張機能だけを許可し、不要な拡張機能の利用を禁止できます。業務に不要な Web サイトへのアクセスを禁止することも可能です。

フィッシングサイトやマルウェアを配布するサイトへのアクセスを検知し、利用者に警告できます。また、未知またはリスクの高いダウンロードファイルを検査し、危険なファイルがデバイスに保存されるリスクを抑えます。

2.データ保護

2 つ目のポイントは、ブラウザ上で扱う業務データの持ち出しを防ぐことです。

データ損失防止（DLP）では、ダウンロード、コピー＆ペースト、印刷、アップロードなどの操作を制御します。。たとえば、以下のようなルールを設定できます。

-個人情報を含むファイルを外部サービスへアップロードしようとした場合に、操作をブロックする
-リモートワーク中の印刷を禁止する
-業務システムで扱うデータを、別の Web サイトへコピー＆ペーストする操作を禁止する

このように、ブラウザ上で扱う業務データが、利用者の操作によって、意図せず、または不正に持ち出されるリスクを抑えます。

BYOD で働き方を広げる

Chrome Enterprise Premium では、組織が管理する端末だけでなく、BYOD （私物端末）から業務リソースへアクセスする場合にも、セキュリティポリシーやデータ保護の機能を適用できます。私物端末で業務用アカウントにログインした場合は、業務用の Chrome プロファイルにポリシーを適用し、アクセスできる業務システムや許可する操作の範囲を定めます。管理端末と同じルールを一律に適用するのではなく、BYOD では端末の管理状況やリスクに応じて、アクセス先やデータ操作をより限定するなど、異なるセキュリティ方針を設定できます。

BYOD を取り入れることで、働き方の選択肢を広げられます。たとえば、在宅勤務時に業務端末を持ち帰らず、私物端末から許可された Web 業務システムを利用できます。業務内容に応じて BYOD を活用することで、組織は端末の調達、配布、更新にかかる負担を抑えることもできます。

導入時のポイント──クラウドエースの伴走支援

Chrome Enterprise Premium の機能を十分に活用するには、組織の業務やセキュリティ要件に合わせて設計し、導入後も適切に運用する必要があります。ゼロトラストに基づくリモートワーク環境の整備では、既存システムや運用ルールとの整合も必要になるため、計画的に進めることが重要です。

クラウドエースでは、現状把握から設計、導入支援、運用サポートまでを一貫して支援します。本記事では、特に設計と導入の段階で検討するポイントを 3 つ紹介します。

1.対象システムとアクセス時のルールを整理し、実環境で検証する

1 つ目のポイントは、対象にする業務システムを整理し、実際の環境で利用できるかを確認することです。

Chrome Enterprise Premium は、Chrome ブラウザから業務システムを利用するため、主な対象は Chrome ブラウザから利用できる Web システムになります。一方で、Windows アプリケーションや特定のブラウザでしか動作しないシステムは、そのままでは対象にできない場合があります。別のアクセス手段を用意するか、対象外とするかを、業務上の必要性に応じて判断します。

また、業務システムのネットワーク構成や接続経路は、システムごとに異なります。システムを利用できるようにするには、システムの構成や業務上の使われ方を整理し、その上で対象システムを一つずつ接続テストしていくことが必要になります。問題があれば、必要に応じて所管部署や保守事業者と相談し、設定変更やシステム改修を行います。このように、一つずつ検証を重ね、結果に応じて関係者と調整することが重要です。

2.ブラウザのポリシーとデータ保護のルールを設計する

2 つ目のポイントは、業務の内容や扱うデータに応じて、ブラウザのポリシーとデータ保護のルールを設計することです。

部署や業務によって、利用する Web サイトや必要な操作、扱うデータの重要度は異なります。そのため、同じルールを全員に一律に適用するのではなく、部署や業務ごとに利用者をグループ分けし、それぞれに必要なルールを適用できるように設計します。業務に必要な操作を妨げずに情報を保護するため、各グループの業務要件を把握した上で、適用するルールを設計することが重要です。

3.Google Cloud に合わせて構成と運用を設計する

3 つ目のポイントは、Google Cloud の仕組みや運用方法に合わせて、構成と運用を設計することです。

Chrome Enterprise Premium では、ブラウザから業務システムへアクセスする経路に Google Cloud の仕組みを利用します。そのため、業務システムごとの接続可否を確認するだけでなく、ネットワーク、アクセス制御、運用ルールを含めた全体の構成を見直す必要があります。

オンプレミス環境と Google Cloud では、利用できる機能や制約が異なります。たとえば、Google Cloud ではファイアウォールのルール数に上限があるため、オンプレミス環境の設定をそのまま再現できない場合があります。このような違いに対して、既存の構成や運用をそのまま再現しようとすると、追加の仕組みが増えて構成が複雑になり、かえって使い勝手を下げることがあります。

まず、実現したい機能と必要なセキュリティ要件を整理します。その上で、Google Cloud で利用できる機能と制約を踏まえ、構成と運用の方法を設計します。クラウドの特性に合わせて見直すことで、必要なセキュリティを確保しながら、運用しやすい環境を構築できます。

導入事例：徳島県庁における5,000人規模の基盤刷新

こうしたポイントを踏まえて Chrome Enterprise Premium を導入した事例の一つが、徳島県庁です。徳島県庁では、国が定める「βモデル」の要件など、厳格なネットワーク分離のルールを遵守しながら、いかにして安全なリモートワーク環境を実現するかが課題となっていました。

こうした課題に対し、クラウドエースは Chrome Enterprise Premium の導入を伴走支援いたしました。これまで解説したような導入時のポイントを踏まえたサポートでプロジェクトを後押しすることで、複雑な要件やセキュリティを確保しつつ、安全なリモートワーク環境の構築を実現しています。

徳島県庁がどのように課題を解決したのか、取り組みの詳細は以下の事例ページにて公開しています。

まとめ

本コラムでは、ブラウザを利用したリモートワークを安全に実現する方法として、Chrome Enterprise Premium を紹介しました。Chrome ブラウザを組織が管理する業務の入口とし、利用者と端末の状態に応じて Web 業務システムへのアクセスを制御します。

Chrome Enterprise Premium を活用することで、アクセス制御やデータ保護といった堅牢なセキュリティを実装しながら、利用者が場所を選ばず、安全に業務を行えるリモートワーク環境を構築できます。

もし、リモートワーク環境の整備やセキュリティ対策に課題を感じている場合は、ぜひクラウドエースへご相談ください。