BYODと外部委託業者のアクセス：ブラウザを通じた管理対象外デバイスのセキュリティ対策

あるコンサルティング会社は、6か月間のプロジェクト期間中、社内のSharePointおよびSalesforceにアクセスできる契約社員200名を必要としています。契約社員の個人用ノートPCにはエンドポイントエージェントを導入できず、また、個人銀行取引や家族の写真の保存などにも使用されているデバイスへのMDM登録は現実的ではありません。さらに、一時的なユーザー向けにVDIを構築すると、プロジェクト予算を大幅に超過してしまいます。 ブラウザ――これらのノートPCのすべてで既に起動しているアプリケーション――こそが、最も現実的なセキュリティ対策の実施ポイントです。本ガイドでは、セキュリティ責任者向けに、前提条件から測定可能な成功基準に至るまで、ブラウザベースの制御を通じてBYODおよび契約社員のアクセスを保護するための段階的なアプローチを解説します。

前提条件：始める前に必要なもの

BYODや外部委託業者向けのブラウザベースのアクセス制御を設定する前に、これらの基礎的な準備が整っていることを確認してください。これらを省略することが、導入が停滞する最も一般的な原因です。

IDインフラストラクチャは、外部ユーザーにも対応していなければなりません。IdPは、従業員だけでなく、契約社員のフェデレーテッドIDも処理できる必要があります。コンサルティング会社の事例を想像してみてください。月曜日に、プロジェクトマネージャーが200人の契約社員にオンボーディングの手順を送信します。 もしIdPが、外部ドメインに紐づいた、権限範囲が限定され、有効期限のあるIDを発行できない場合、その週はアカウントの手動プロビジョニングに追われることになり、契約終了時にそれらのアカウントを削除し忘れることにもなりかねません。NIST SP 800-46 Rev. 2は、BYODや、契約社員、ビジネスパートナー、ベンダーが管理するクライアントデバイスに関するセキュリティ要件を明確に規定しており、これらのデバイスに保存され、またはこれらを通じて送信される機密情報の保護の重要性を強調しています。

アクセス方法別のアプリケーション一覧。SaaS（フォワードプロキシまたはリバースプロキシ経由でアクセス可能）、社内Webアプリケーション（ZTNA経由でアクセス可能）、あるいはレガシーのシッククライアントアプリケーション（依然としてVDIが必要な場合あり）など、契約業者が必要とするアプリケーションを網羅したカタログです。契約業者のワークロードの多くはSaaS（SharePoint、Salesforce、ServiceNowなど）が中心であるため、セッションの大半において、ブラウザベースのポリシー適用が可能となります。

DLPポリシーのマッピングに向けたデータ分類。外部委託業者がアクセスするアプリケーションにおいて、機密データに該当するものを分類していない場合、DLPポリシーはブロックしすぎたり、逆にすべてを見逃したりすることになります。少なくとも、個人識別情報（PII）、財務記録、および知的財産に関するポリシーのトリガーを定義してください。

ネットワークアーキテクチャの決定。NIST SP 800-46 では、組織に対し、クライアントデバイスが内部ネットワークを利用することを許可する前に、そのセキュリティ状態を検証するネットワークアクセス制御ソリューションの導入を検討すること、および BYOD やサードパーティが管理するデバイスを含むすべての外部クライアントデバイスに対して、独立したネットワークを使用することを検討するよう推奨しています。ブラウザベースのアクセスについては、これは、管理対象外のデバイスからのトラフィックに対して直接的なネットワークアクセスを許可するのではなく、すべてをSSEプラットフォーム経由でルーティングすることを意味します。

フェーズ1：CASBおよびSWGを用いた可視化とベースラインポリシーの確立

まずは、最も根本的な質問に答えてみましょう。現在、SaaSアプリケーションにおいて、管理対象外のデバイスは実際にどのような役割を果たしているのでしょうか？

CASBをリバースプロキシモードで展開し、管理対象外のデバイスから認可されたSaaSアプリケーションにアクセスするセッションを傍受します。 リバースプロキシにはエージェントが不要です。契約社員は、貴社のIdPを通じて認証を行うだけで、CASBの適用ポイントを経由して透過的にルーティングされます。コンサルティング会社のシナリオでは、契約社員が個人のMacBookからSalesforceにログインすると、CASBはそのセッションを検知し、クライアント証明書がないことを基にそのデバイスを管理対象外と分類し、管理対象外デバイスポリシーを適用します。具体的には、商談レコードへの読み取り専用アクセス、一括エクスポートの禁止、画面表示への透かし入れなどが行われます。

同時に、これらのユーザーからのWebトラフィックをSWG経由でルーティングし、利用規定を適用したり、リスクの高いカテゴリへのアクセスをブロックしたり、ダウンロードファイルのマルウェアスキャンを行ったりします。SWGは、企業のSharePointにログインした状態で、個人のメールタブ内のフィッシングリンクをクリックしてしまう契約社員に対する、最初の防衛線となります。

この段階で測定すべき事項：

1日あたりに検出された管理対象外のデバイスのセッション数

管理対象外のデバイスからアクセスされるSaaSアプリケーション（シャドーSaaSの検出）

ポリシー違反によるブロック（一括ダウンロード、許可されていないアプリへのアクセス）

請負業者のオンボーディング依頼から実務利用開始までの平均所要時間

このフェーズでは、その後のフェーズへの投資を正当化するためのテレメトリデータが得られます。もしCASBの分析結果から、契約社員が毎週顧客リストを個人用デバイスにダウンロードしていることが判明すれば、フェーズ2のビジネスケースは自ずと成立することになります。

フェーズ 2：機密性の高いRemote Browser Isolation 追加する

可視性が確保できたら、次のステップは、最も機密性の高いアプリケーションに対して、エンドポイントを脅威の経路として完全に排除することです。ここで remote browser isolation こそが、管理対象外のデバイスに対して利用可能な最も強力な対策となります。

実際のシナリオを考えてみましょう。コンサルティング会社の契約社員が、Salesforce内の顧客レコード（氏名、住所、取引額などの個人識別情報（PII）を含む）を確認する必要があるとします。RBIを使用すると、Salesforceのセッションはクラウドベースのコンテナ内で実行されます。 契約社員はChromeやSafariのブラウザ上で通常通りアプリケーションを表示・操作できますが、アプリケーションデータ、セッショントークン、ページコンテンツがローカルデバイスに到達することは一切ありません。たとえ契約社員の個人用ノートPCがキーロガーや情報窃取型マルウェアに感染したとしても、セッションはローカルで実行されないため、マルウェアが取得できる有用な情報は一切ありません。

RBIでは、隔離されたセッション内でのきめ細かなデータ制御も可能になります。コピー＆ペーストの無効化、印刷のブロック、ファイルのダウンロード防止、スクリーンショットにユーザーの身元情報を埋め込む動的な透かしの適用などが可能です。セッションが終了するとコンテナは破棄され、管理対象外のデバイスにはデータが一切残存しません。

このアプローチは、ゼロトラストの原則と完全に合致しています。NIST SP 800-207では、ネットワーク上のデバイスが企業の所有物ではない場合や、企業が設定できない場合があること、また、契約サービスには、その役割を果たすためにネットワークアクセスが必要な、企業所有ではない資産が含まれる可能性があることが明示的に認められています。RBIは、この原則を実践的に具現化したものです。つまり、デバイスを信頼することなく、アプリケーションへのアクセスを許可するのです。

RBIと標準的なCASBプロキシのどちらを適用すべきか：

RBIプロキシと標準CASBプロキシのどちらを適用すべきか

フェーズ3：プライベートアプリケーションへのZTNAの適用拡大

SaaSアプリケーションは、その一部に過ぎません。多くの請負業務では、インターネットに公開されていない社内Webアプリケーション（カスタムポータル、社内Wiki、開発環境など）へのアクセスが必要となります。

従来のVPNは、外部業者に対して貴社の環境へのネットワークレベルのトンネルを提供しますが、これはゼロトラストのガイドラインに定められたあらゆる原則に反しています。もし、200人の外部業者のうち1人の個人用ノートPCにマルウェアが仕込まれており、その業者にVPNアクセス権限を付与していた場合、そのマルウェアは貴社の内部ネットワークをスキャンし、横方向の移動を試み、その業者がアクセスする予定だった範囲をはるかに超えたシステムにまで到達してしまう可能性があります。

ZTNA（ゼロトラストネットワークアクセス）Private Access 、VPNPrivate Access アプリケーションレベルのアクセス制御Private Access 。契約業者が認証を行うと、ポリシーエンジンがその身元、デバイスのコンテキスト、リスクシグナルを評価し、その役割に対して承認された特定の社内アプリケーションへのアクセスのみを許可します。それ以外のアクセスは一切許可されません。契約業者は、基盤となるネットワークを一切閲覧したり操作したりすることはありません。

CISAのゼロトラスト成熟度モデルにおける成熟度段階により、組織は「アイデンティティ」、「デバイス」、「ネットワーク」、「アプリケーションおよびワークロード」、「データ」という5つの柱にわたって、ゼロトラストへの移行に必要な投資を評価、計画、維持することができます。外部委託業者へのアクセスにおいてVPNからZTNAへ移行することは、「デバイス」および「ネットワーク」の両方の柱において、「従来型」から「初期」の成熟度レベルへの明確な進展となります。

コンサルティング会社の場合、ZTNAを採用することで、契約社員のジェーンは自宅の個人用ノートPCから社内のプロジェクト追跡ポータルにアクセスできますが、ネットワークをスキャンしたり、ドメインコントローラーにアクセスしたり、財務アプリケーションへ移動したりすることはできません。もし彼女の契約が金曜日に終了した場合、アプリケーション層でアクセス権が取り消されるため、VPN証明書の管理やファイアウォールルールの削除といった手間は一切かかりません。

BYODや契約社員のアクセス管理において、VDIやMDMが不十分である理由

セキュリティ担当者は、ブラウザベースの制御策を検討する前に、VDIやMDMを評価することがよくあります。どちらも正当な活用事例がありますが、一時的で、かつ台数が多く、管理対象外のデバイスが多数存在する状況には、どちらも適していません。

VDI（仮想デスクトップインフラストラクチャ）：VDIは、サーバー上に一元化されたデスクトップ環境を構築し、ユーザーのデバイスに画面セッションをストリーミングします。これは、シッククライアントアプリケーションを必要とする規制の厳しい環境に最適です。しかし、200人の契約社員が6か月間SaaSアプリにアクセスするだけの場合、VDIは過剰な仕様となります。 クラウド型VDIソリューションの費用は通常、ユーザー1人あたり月額数十ドルかかります。また、オンプレミス型VDIでは、サーバー、ネットワーク、仮想化ソフトウェアに多額の初期投資が必要です。200人の契約社員を対象としたプロジェクトの場合、インフラ、ライセンス、サポートにかかる諸経費を除いても、VDIのサブスクリプション費用だけで6か月間で数万ドルに達する可能性があります。さらに、VDIでは遅延やセッションの中断、オンボーディングに時間がかかるといった問題が生じ、ユーザーの不満を招き、生産性を低下させる原因となります。

MDM（モバイルデバイス管理）：MDMを導入するには、契約者の個人端末に管理プロファイルをインストールする必要があります。これにより、組織は端末の設定を管理したり、データを遠隔で消去したり、インストールされているアプリケーションを把握したりできるようになります。しかし、ほとんどの契約者はこれを拒否するでしょう。端末は彼らの私物であり、銀行取引や個人のメール、家族の写真の保存などに使用されているからです。契約者にMDMへの登録を求めることは、法的な摩擦やプライバシーに関する異議を招き、オンボーディングを数日あるいは数週間遅らせる原因となります。

ブラウザベースの制御（CASB + RBI + SWG + ZTNA）：エージェント不要、デバイスの登録不要、拡張のためのインフラも不要です。契約業者はブラウザを開き、貴社のIdPを通じて認証を行うだけで、セッション層でセキュリティポリシーが適用されます。オンボーディングにかかる時間は、数日から数分に短縮されます。 BYODセキュリティ市場はこの変化を反映しています。同市場の規模は2025年に606億4000万ドルと評価され、年平均成長率（CAGR）10.28％で推移し、2032年には1203億6000万ドルに達すると予測されています（GII Research、2026年）。

表2：VDI、MDM、ブラウザベースの制御の比較

統合ポイント：既存のスタックとブラウザのセキュリティを連携させる

ブラウザベースのBYOD管理機能は、単独で機能するものではありません。既存のセキュリティインフラと統合することで、その価値はさらに高まります。

IdP と条件付きアクセス：IdP（Azure AD、Okta、Ping）はゲートキーパーの役割を果たします。管理対象外のデバイス（通常はクライアント証明書やコンプライアンス信号がないことで識別されます）を検出し、それらのセッションを CASB リバースプロキシまたは RBI 経由で自動的にルーティングするように、条件付きアクセスポリシーを設定します。契約業者が未登録のデバイスから SharePoint にログインした場合、IdP は手動での介入なしに、自動的により厳格なアクセスパスを適用する必要があります。

DLPポリシーの統一：管理対象のエンドポイント上のデータを保護するDLPポリシーは、管理対象外のデバイスからのブラウザセッションにも適用されるべきです。例えば、DLPポリシーで従業員の顧客レコードの一括エクスポートをブロックしている場合、RBI経由でアクセスする契約社員に対しても同様にブロックする必要があります。 IBMの「データ侵害のコストに関するレポート（2024年）」は、このリスクを数値化しています。2024年のデータ侵害による世界平均コストは488万ドルに達し、前年比10％増となり、パンデミック以降で最大の急増となりました。管理対象および非管理対象のアクセス全体で一貫したDLPの適用を行うことで、こうした統計の犠牲になる可能性を低減できます。

SIEMとUEBAの統合：CASB、RBI、ZTNAからのセッションログをSIEMに集約し、外部委託業者の活動に関する行動のベースラインを構築します。通常、1日に20件のSalesforceレコードにアクセスする外部委託業者が、突然2,000件をエクスポートした場合、その異常がアラートを発動させるはずです。 可視化と分析は、CISAのゼロトラスト成熟度モデルにおける3つの横断的機能の1つであり、ブラウザ制御によるセッションレベルのテレメトリは、その機能を実用的に実装したものです。

オフボーディングの自動化：契約社員との契約が終了した際は、そのIdPのIDを無効化します。アクセスはセッションベースであり、プロキシまたはRBIレイヤーで適用されるため、VPN証明書の失効処理やエンドポイントエージェントのアンインストール、デバイスプロファイルの削除といった作業は一切必要ありません。アクセス権は単に失効するだけです。

指標と成功基準

重要な指標を測定しましょう。これらの指標は、ブラウザベースのBYODおよび外部業者へのアクセス制御が機能しているかどうかを示し、継続的な投資の正当性を裏付けるものです。

運用指標：

請負業者のアクセス開始までの平均所要時間：IDプロビジョニングから最初の業務セッション開始まで。目標：30分以内。もしこの時間を日単位で測定している場合は、プロセスの改善が必要です。

管理対象外デバイスのセッション数：管理対象外と分類されたデバイスからの1週間あたりの総セッション数。導入が進むにつれて増加傾向が見込まれる一方、請負業者の従業員数が安定しているにもかかわらず減少傾向が見られる場合は、バイパスが行われていることを示唆している。

ポリシー違反率：1,000セッションあたりのブロックされた操作（ダウンロード、コピー＆ペースト、許可されていないアプリへのアクセス）の件数。この率が継続して高い場合は、ポリシーが厳しすぎるか、ユーザーへの周知が不十分である可能性を示唆している。

セキュリティ指標：

データ残留インシデントゼロ：管理対象外のデバイスに起因するデータ漏洩事案の数。RBIで保護されたセッションについては、目標値をゼロとする。

シャドウSaaS検出率：CASBによって検出された、管理対象外のデバイスからアクセスされた未承認のSaaSアプリケーションの数。SWGポリシーを厳格化していくにつれて、この指標は時間の経過とともに低下するはずです。

管理対象外のデバイスからの認証情報窃取事件：認証情報を利用した攻撃は、全情報漏洩事件の16％を占め、その発見と封じ込めに要する期間は292日近くと、最も長かった（IBM、2024年）。RBIのセッション分離機能により、ブラウザを介した攻撃による認証情報の窃取はほぼゼロに抑えられるはずである。

コスト指標：

契約者1人あたりのアクセスコスト：管理対象外のデバイスセッションにかかるSSEライセンスの総コストと、同等のVDIコストを比較してください。その差額が、更新の根拠となります。

外部業者によるアクセスに関するヘルプデスクへの問い合わせ件数：ブラウザベースの制御方式では、トラブルシューティングが必要なクライアントソフトウェアが存在しないため、VDIやMDMに比べてサポートチケットの発生件数が少なくなるはずです。

よくある間違い

管理対象外のデバイスをすべて同一に扱う。機密性の低いプロジェクト文書にアクセスする請負業者には、顧客の個人識別情報（PII）を扱う場合と同じレベルの制御は必要ない。すべてのセッションにRBIを過度に適用すると、コストと遅延が増大する。リスクに応じた階層化を採用する：機密性の低いアプリケーションにはCASBプロキシを、機密性の高いアプリケーションにはRBIを適用する。

アプリ間で転送中のデータを見落としている。 RBIを使用してSalesforceへのアクセスを制限したとしても、契約業者は依然としてSalesforceから顧客名をコピーし、隣のタブにある生成AIツールに貼り付けることで、補足データを含む応答を得ることが可能です。RBIとSWGポリシーを組み合わせて、管理対象外のデバイスからのセッションによる生成AIツールへのアクセスを制限するか、AIツールへのアクセスも隔離環境を経由するように設定してください。Skyhighは、管理対象外のデバイスからクラウドアプリを保護するためのガイダンスにおいて、このシナリオに対する追加の制御策を概説しています。

離職時のワークフローが省略されている。プロビジョニングには注目が集まる一方で、デプロビジョニングは付箋一枚で済まされてしまう。人事システムや調達システムにおける契約終了日に連動した離職処理のトリガーを自動化しよう。プロジェクト終了から3ヶ月経ってもアクセス権限が残っている契約社員は、意図的か否かにかかわらず、内部脅威となる。

ユーザーとのコミュニケーションを怠る。RBIを初めて経験する契約社員からは、「アプリケーションの使い勝手が違う」とか、「コピー＆ペーストが機能しない」といった声が上がるかもしれません。こうした制御機能が存在する理由や、どのような動作が制限されるのかを説明する積極的なコミュニケーションを行わなければ、契約社員はダウンロード制限を回避するために、データを個人のアカウントにメールで送信するといった「影の回避策」を講じるようになるでしょう。

DLPなしでブラウザ制御を導入すること。data loss prevention （DLP）を伴わないブラウザの隔離は、ドアは施錠されているが窓が開いているdata loss prevention 。RBIはデータがデバイスに到達するのを防ぎますが、DLPは、セッション内のデータが承認されたチャネル（個人のクラウドストレージアカウントへのアップロード、社外アドレスへのメール送信、ローカルPDFへの印刷など）を通じて外部に持ち出されないようにします。 IBMの調査によると、情報漏洩の35％は「シャドウデータ」（管理対象外のデータソースに保存された情報）（IBM、2024年）が関与しており、制御されていないデータの移動がコストとリスクを招くことを浮き彫りにしています。

「1つの導入モデルがすべてに適用できる」という前提は誤りです。管理対象デバイスでは軽量なブラウザ拡張機能が有効な場合もある一方で、契約社員にはエージェントレス型のRBIが適している場合もあります。全従業員に単一のアプローチを強制するのではなく、デバイスの状態やユーザーの種類に応じて適切な管理方法を適用してください。