ゼロトラスト 2023.03.23

Webアプリケーションからの情報漏洩をブラウザで防ぐ？！新発想の最先端テクノロジーのご紹介

エンタープライズブラウザ

本記事のサマリ

Microsoft365、Google Workspace、Salesforce、BOX、Slack・・・
みなさんの企業ではどのようなWebアプリケーションを使っていますか？
COVID-19や働き方改革により急激にスタンダードとなったテレワークや、ビジネスのグローバル化においてSaaSやWebアプリケーションは、現代のビジネスにおいては必要不可欠なツールとなっているかと思います。
一方でそれらを活用する際のセキュリティ対策はいかがでしょうか？接続元や利用場所が多様になり、Webアプリケーションによってアクティビティがことなるため、取得できる操作ログやログ形式はバラバラ、データの管理ポリシーも当然バラバラ・・・・そのような課題はございませんか？
本ブログでは、現在のWebアプリケーションの利用増加に伴い、従来のセキュリティ対策とは異なる画期的なアプローチ、"エンタープライズブラウザ"をご紹介します。

3行でわかる本記事のサマリ

伝統的なアプリケーション制御の課題：SWGやCASBの制御には限界があり、柔軟性や全アプリケーションの統一が難しい。
エンタープライズブラウザの利点：コンプライアンス遵守、柔軟性、迅速なセキュリティ強化、生産性向上が可能。
遠隔医療企業の事例：Islandブラウザが医療情報の制御と外部漏洩防止に効果的。

従来のアプリケーション制御における課題
1-1. SWGでの対策
1-2. CASBでの対策
エンタープライズブラウザでのアプリケーション制御が有効な理由
2-1. コンプライアンス
2-2. 柔軟性
2-3. スピード
2-4. 生産性
ユーザ事例：遠隔医療サービス

１．従来のアプリケーション制御における課題

増え続けるWebアプリケーションでのアクセス/データをコントロールするため一般的に取られる対策例とその課題について見てみましょう。

1-1. SWGでの対策

アプリケーション制御においてはしばしばSecure Web Gateway(SWG)と呼ばれるいわゆるWebプロキシが利用されることがありますが、SWGでのアプリケーション制御では特定のアプリケーションに対する特定のアクション（ログイン、ファイルアップロード/ダウンロード、ポスト等）のみの制御となり、全アプリケーションを対象にすることや、細かいアクションの制御までは実現できません。また、エージェントの導入が必要なケースもあり、それ自体が障壁になるパターンもあります。

1-2. CASBでの対策

他の手段としてCloud Access Security Broker(CASB)を利用するケースもありますが、API経由で監査ログを取得して可視化/制御する方法では、そもそもAPI連携に対応しているアプリケーションしか対象にできなかったり、取得できるアクションログはアプリケーション側に依存したりするため、全アプリケーションを対象に一貫したログの取得や制御ができません。また、エージェントの導入であれば上記課題がクリアできる可能性がありますが、エージェントのバッティング等それ自体が障壁になることもあります。
まとめると、SWG/CASBでのWebアプリケーション制御における課題は次の通りです。

Webアプリケーションから1.png

上記の課題をクリアしつつ、生産性を落とさないセキュリティ対策のアプローチとして、"エンタープライズブラウザ"の特徴を以下にご紹介します。

2．エンタープライズブラウザでのアプリケーション制御が有効な理由

従来のセキュリティ対策とは異なるアプローチを、特にエンタープライズブラウザにおけるその優位性が発揮される場面を取り上げながらご紹介します。

2-1. コンプライアンス

エンタープライズブラウザでは、ラストマイルコントロールと呼ばれる企業の要望に沿った詳細な制御やSecureStorageと呼ばれるダウンロードしたファイルをローカルデバイスに保存せずに閲覧・編集できる機能があります。そのため、必ずエンタープライズブラウザ経由でWebアプリケーションを操作することにより、Webアプリケーションから外部へデータが漏洩することはなく、データ保護の対策ができているとコンプライアンス的に提示することができます。データ規制は国や地域によって大きく異なるため、様々なアプリケーションを活用していたり、グローバルで従業員を抱えている企業にとっては、エンタープライズブラウザで柔軟かつ、きめ細かな管理を行うことができるようになります。

2-2. 柔軟性

私たちが利用しているWebアプリケーションは様々な用途があります。当然ながらベンダーや用途が異なるため、アプリケーション自身が実装しているセキュリティ機能のレベルも異なります。しかしながら、どのアプリケーションでも機密情報を扱い、重要業務を行い、外部へデータが流出してしまうリスクが少しでもあるとすれば、「高い水準でのセキュリティレベルの統一」が重要になるのではないでしょうか？
エンタープライズブラウザであれば、全てのWebアプリケーションを対象としてアプリケーション自身が実装しているセキュリティ機能よりも細かいコントロールが可能な上、重要性が異なる場合には特定の複数アプリにだけ統一してポリシーを厳しくあてる・・・という設定も可能です。

Webアプリケーションから2.png

これにより、バラバラだったWebアプリケーションのセキュリティ基準を"全て"統一することも、"一部だけ"統一することもできるため、業務の生産性を損なわずセキュリティ強化を行い、柔軟な対応ができるようになります。

2-3. スピード

利用している業務アプリケーションにセキュリティ強化を行いたい場合、みなさんの企業ではどれくらいの時間を要しますか？

社内の独自アプリケーションに多要素認証を組み込みたい
SaaSで提供されているロールベースアクセスよりもより詳細な粒度でアクセス制限を行いたい
機密情報を閲覧時に「透かし」を入れたい

自社の独自アプリケーションであれば改修を行うことは可能ですが、それなりの時間がかかるかと思います。
さらには、一般的なSaaSの1挙動を制御したいという要望は、SaaS事業者側へ機能を実装させるリクエストとなり、そもそも実現するかどうかもわかりません。
これらのような「迅速に、どのアプリケーションも、今よりセキュリティ強化をしたい」というニーズに、エンタープライズブラウザであれば対応できます。
エンタープライズブラウザを経由することで、追加認証の付与や、特定動作の制御(コピー&ペーストやドロップ&ダウン等)、アクセス元のデバイスポスチャを用いて従来よりもセキュアにアプリケーションを活用することができます。

2-4. 生産性

人手不足や分業制の観点で、業務の外部委託を積極的に行う企業も増えているかと思います。これまでは委託業者向けに端末を購入し配布していたような企業であれば、エンタープライズブラウザの配布のみでセキュリティを維持しつつ端末の管理コストを削減できます。また、委託業者側の端末を使用させていたり、自社の社員についてもBYODを推進している/したい場合に、自社が求めるセキュリティレベルを担保しつつ、彼らのプライバシーを尊重するためのツールとしてエンタープライズブラウザを配布するのも一つの手段です。
加えて、このエンタープライズブラウザ内で柔軟にアクセス/アクションコントロールすることで、セキュリティにより業務効率が落ちることのないアプローチを確立することができます。

Webアプリケーションから3.png

3．ユーザ事例：遠隔医療サービス企業

病院に行かずに遠隔地から医療を提供するサービスを構築するとある企業がIslandを採用しました。
このサービスでは、医療提供者である医者は外部委託業者であり、彼らを医療業界特有の機微な患者情報にアクセスさせつつも、外部に漏えいさせない環境を提供する必要がありました。いくつかの方法を検討した上で、最終的に彼らはIslandブラウザを選択しました。決め手の一つはデータを外部に漏らすことなく利用できる「制御力」でした。ぜひ、最下部のリンクよりユーザ事例をご覧ください。

おわりに

SaaS と Web アプリケーションは、現代のワークプレイスを強化し、その過程で膨大な価値をもたらしています。当たり前のように業務アプリケーションを利用している今こそ、業務アプリケーションに寄り添い、生産性を落とさず利用できるセキュリティツールが必要です。本ブログでは、業務アプリケーションの利用増加と共に利用頻度の多くなった"ブラウザ"に焦点を当て、ブラウザならではの可視化と制御が可能な企業向けブラウザ、エンタープライズブラウザについてご紹介しました。
その他の活用シーンやユーザ体験についても、ぜひご一読ください。

▼事例（遠隔医療サービス企業）のダウンロードページへ