要点
- ブラウザセキュリティポリシーとは、組織全体において、企業用ブラウザの承認、構成、セキュリティ対策、監視の方法を定義するものです。
- すべてのエンドポイントで自動更新を強制し、ブラウザのバージョンを把握することが、既知のセキュリティ上の欠陥を最も早く塞ぐ方法です。
- 拡張機能のガバナンスには、不要なアクセスを制限するために、承認済みリストやブロックリストの設定に加え、定期的な権限の見直しが必要です。
- セキュリティが強化されたブラウザ設定では、パスワードの保存やブラウザの同期機能が制限され、サイトの権限の例外には担当者（オーナー）の承認が必須となります。
- セーフブラウジング機能は、悪意のあるサイトへのアクセスをブロックし、危険なダウンロードや確認されていないダウンロードが被害をもたらす前に制限します。
- ブラウザの整合性チェックでは、ポリシーへの準拠状況をリアルタイムで検証し、ユーザーにフルアクセス、制限付きアクセス、アクセスなしのいずれが与えられるかを決定します。
ほとんどの企業のセキュリティ対策は、サーバー、エンドポイント、ネットワークの保護に重点を置いています。その結果、ブラウザは利用頻度が高いにもかかわらず脆弱な、企業への入り口となっています。従業員は、SaaSツール、IDプロバイダー、メール、ファイルストレージ、社内ポータル、AIアシスタント、財務プラットフォーム、顧客記録、特権管理者コンソールなど、あらゆるサービスにブラウザからログインするためです。デフォルト設定のままでは、ブラウザはユーザー個人に多くの裁量を与えます。どの拡張機能をインストールするか、パスワードをローカルに保存するか、同期によって社内データが個人アカウントに取り込まれるかどうかといった点も、ユーザーに委ねられます。
このギャップを埋めるために、ITチームは、ブラウザの動作を単なるユーザーの設定から、ITチームが定義・適用・確認できるものへと変えるための、ブラウザセキュリティポリシーチェックリストを用意すべきです。更新、拡張機能、パスワード、同期、ダウンロード、サイトの権限を対象とし、機密性の高いシステムへのアクセスが、キーボードの前にいる人次第にならないようにする必要があります。
ブラウザセキュリティポリシーとは何か。そしてそれが重要な理由
ブラウザセキュリティポリシーとは、組織内でブラウザの承認、構成、セキュリティ対策、監視を行う方法を制御する一連のルールです。これにより、ITチームは、ガバナンスやセキュリティの観点から、管理対象のデバイス、リモートワーカー、共有マシン、およびリスクの高い役割に対して、独自のポリシーを適用し、その遵守状況を確認できるようになります。
優れたポリシーは、次の点に対応している必要があります。
- 使用が承認されているブラウザとそのバージョンはどれか
- 更新が自動的に配信される仕組み
- 拡張機能の許可またはブロックに関するルール
- 管理対象プロファイルおよびブラウザ同期に関する要件
- パスワードと自動入力機能の取り扱い方法
- 悪意のあるサイトや安全でないダウンロードに対する保護機能
- サイトの権限および例外管理
- 上記のすべてが実際に機能していることを確認するためのレポート
このような仕組みがないと、ブラウザは組織への最も侵入しやすい経路の一つとなってしまいます。古いバージョンにパッチが適用されないまま放置されたり、拡張機能が不要なアクセス権限を取得したり、企業の認証情報が個人アカウントに同期されたり、古い例外処理が長期間にわたって残ったりする可能性があります。これらはすべて、経験の浅い攻撃者にも悪用される恐れがあります。これは、他のエンドポイントを保護するのと同じように、ブラウザの動作も標準化する必要があることを示しています。
確実に押さえるべき5つのポイント
1. ブラウザの更新とバージョン管理
ブラウザにおける主要な攻撃対象領域の多くは、古いバージョンに起因しています。パッチは公開され次第、既知の脆弱性を塞ぎます。組織が更新をどれだけ迅速に展開するかが、既知の脆弱性が悪用可能な状態で残る期間に直接影響します。
バージョン管理ポリシーでは、次の点を明確に定める必要があります。
- 使用が承認されているブラウザとそのバージョンはどれか
- ユーザーが任意で有効にするのではなく、自動更新をデフォルトにすること
- 更新が「適用遅れ」とみなされるまでの、許容される最大の遅延期間
- 緊急パッチや重大なパッチを、より迅速に適用するための手順
- ベンダーのサポートが終了したブラウザを削除、またはブロックすること
- すべてのエンドポイントのバージョン状況をITチームが把握できるよう、定期的にレポートを作成すること
最後の点が重要なのは、レポートなしでは、ポリシーは単なる意図の集まりにすぎず、ITチームは問題が起きるまで、デバイスが実際に準拠しているかどうかを知る手段がないためです。これでは、そもそもルールを設けた意味がなくなってしまいます。
2. ブラウザ拡張機能およびアドオンのガバナンス
拡張機能は、ブラウザ内部の動作に深くアクセスできるため便利です。拡張機能は、ページの内容を読み取り、閲覧履歴を記録し、認証フローにまで入り込むことができます。そのため、何がなぜインストールされているのかを誰も把握していない状態では、拡張機能は非常に危険です。特に企業環境では、拡張機能を適切に管理することがいかに重要かがわかります。
拡張機能のガバナンスでは、次の点を対象にする必要があります。
- 承認済みおよびブロック済みの拡張機能リスト
- 承認済みリストにまだ掲載されていない拡張機能について、申請を行うためのプロセス
- インストールを許可するには、権限を確認すること
- 使用している各拡張機能について、業務上の理由を文書化しておくこと
- インストール済みの拡張機能を再確認する、一定の頻度を決めておくこと
- 不要になった拡張機能を削除するための明確なプロセス
- サイドロードされた拡張機能やデベロッパーモードの拡張機能に関するルール
権限には注意が必要です。拡張機能の中には、訪問するすべてのウェブサイトにアクセスしたり、閲覧履歴を読み取ったり、ダウンロードしたファイルを操作したり、クリップボードにアクセスしたりするものがあります。この点が、承認前に各アクセス要求をどれだけ厳しく審査するかの基準になります。
3. 安全なブラウザ設定： パスワード、同期、サイトの権限
ブラウザから企業データが知らぬ間に漏えいする主な原因として、承認されたツール以外で保存された認証情報や、一度許可されたもののその後見直されることのなかったサイトの権限の2つが挙げられます。ブラウザを、機密性の高いアクセス権限を持つ他のシステムと同様に扱い、これら両方の領域を厳重に保護することが重要です。
ブラウザの設定で、次の点が適切に設定されていることを確認してください。
- ブラウザでパスワードの保存を許可するかどうか
- 組み込みのストレージの代わりに、パスワードマネージャーの使用が必須となっていること
- 必要に応じて、自動入力の制限
- 管理対象アカウントのみに限定した同期
- 管理対象デバイスでの個人プロファイルの使用を禁止するルール
- 共有ワークステーションでのセッションクリア
- カメラ、マイク、位置情報のアクセス権限
- クッキーおよびサードパーティによる追跡に関するルール
- クリップボード、USB、Bluetoothへのアクセス
- ポップアップとリダイレクトの動作
- 許可・ブロック対象サイトの一覧
例外は常に確認する必要があります。ひとつには、レガシーアプリや業務上不可欠なアプリが、動作するためにより広い権限を必要とする場合があります。しかし、こうした例外は、当初の正当な理由がなくなった後も残り続けるのが一般的です。すべての例外に、担当者と有効期限を明記しておくことが重要です。そうすることで、定期的に見直しを行えます。
4. 安全なブラウジング、ダウンロード、警告のコントロール
最近のブラウザの多くには、フィッシングページや悪意のあるサイト、安全でないダウンロードに対する防御機能が組み込まれています。しかし、これらはユーザーが無効にしない場合にのみ機能します。ITチームの目標は、これらの保護機能を常に有効な状態にしておくことです。
これらのコントロールでは、次の点を定める必要があります。
- 悪意のあるサイトに対する、セーフブラウジングまたは同等の保護機能
- サイト分離（ブラウザが対応している場合）
- 危険なダウンロードが完了する前に表示される警告プロンプト
- 安全でないコンテンツや古いプロトコルに対する制限
- リスクの高い役割を担うユーザーに対する保護機能の強化
- 分類されていないサイトや危険なサイトへのアクセス制限
警告をクリックして先へ進めてしまえるかどうかにも、注目することが重要です。 ITチームは、（もし付与するならば）警告を無視する権限を誰に付与すべきか決定し、無視する際に確実にログが残るようにする必要があります。そうすることで、警告の無視が閲覧履歴の中に気づかれずに埋もれてしまうことを防ぐことができます。
5. ブラウザの整合性チェックに関する要件
ITチームは、ポリシーが実際に守られているかどうかを常に確認できる手段を持っておく必要があります。そこで役立つのが、整合性チェックです。ポリシーが存在するという理由だけでブラウザがポリシーに準拠していると考えるのではなく、整合性チェックを行うことで、機密情報へのアクセス前またはアクセス中に、ブラウザの実際の最新の状態を確認することができます。
整合性チェックでは、次の項目を検証する必要があります。
- 承認されたブラウザの種類とバージョン
- 更新ステータス
- 管理対象プロファイルのステータス
- 承認済みリストと照合した拡張機能のインベントリ
- パスワードの保存設定
- 同期状態
- サイトの権限の設定
- ダウンロード保護の設定
- デバイスの状態とユーザーのアイデンティティ
- 有効な例外のステータス
チェックのあとは、必ず結果を評価してください。ユーザーには、フルアクセス、制限付きアクセス、分離されたアクセス、読み取り専用アクセスのいずれかが与えられる場合もあれば、まったくアクセスできない場合もあります。これにより、このチェックは、機密性の高いシステムの手前に置かれた、実際に機能する関門になります。さらに、見直しの頻度もリスクに応じて調整する必要があります。
各エリアをどの頻度で見直すべきか、検討してください。
- 重要なコントロールには、ツールが対応していれば、継続的または毎日の確認が必要です。
- バージョンや更新は、毎週または毎月確認する必要があります。
- 拡張機能は、毎月見直す必要があります。
- 例外は、四半期ごとの精査に耐えうるものでなければなりません。
- ポリシー全体については、年に一度、または大きなプラットフォームの変更があった場合はそれより早く、見直す必要があります。
ブラウザポリシーを実効性のあるものにする
ブラウザは今や、企業システムへの入り口として最も頻繁に利用されるものの一つであり、戦略的に統制すべき重要な接点となっています。チームがブラウザを確実に管理下に置けるよう、更新、拡張機能、認証情報、同期、サイトの権限を、デフォルトのまま信頼するのではなく、自ら定義すべきものとして扱うポリシーを導入してください。もちろん、そのポリシーを日常的に実効性のあるものにするには、整合性チェックが必要です。古いバージョン、未審査の拡張機能、忘れられた例外を、実際のインシデントになる前に検出できます。これらを一貫して適用し、定期的に見直すことで、企業への侵入経路のうち、最も狙われやすいものの多くを塞ぐことができます。
関連記事：
