執筆者: Thyaga Vasudevan氏、Skyhigh Security社 プロダクト担当EVP
これまで何十年もの間、企業セキュリティは主にエンドポイントとネットワークに焦点を当ててきました。企業の端末を保護し、安全な接続を確立し、オンプレミスリソースへのアクセスを制御することで、各チームは中央集権的なサーバーへの侵入を効果的に防いできました。
やがて企業がSaaS(Software as a Service)モデルやクラウドサービスを導入するにつれ、こうした優先事項も変化し、新たなクラウドセキュリティ、データ保護、ID(アイデンティティ)ベースの制御が加わるようになりました。
その後、従業員がどこからでも、あらゆるデバイスで働くようになり、ネットワークの範囲はさらに拡大しました。そこへ追い打ちをかけるように人工知能(AI)ブームが到来し、脅威の状況はいっそう複雑化しています。
ユーザーが出社・リモート・ハイブリッドのいずれの形態でも働き、会社支給のPCでも個人所有のノートPCでもデータにアクセスでき、さらにそのデータをサードパーティのAIモデルと共有できるようになった今、エンドポイントとネットワークの対策だけではもはや不十分です。
企業ネットワークがますます分散し複雑化する中でも、ユーザー、アプリケーション、データ、そしてAIモデルをつなぐ共通の糸が一つあります。それがブラウザです。ブラウザは現代の業務における主要なインターフェースであり、ビジネスに不可欠なツールやプラットフォームなどへの入り口としての役割を担っています。
そのため、ブラウザのセキュリティ確保はこれまで以上に重要性を増しており、AIモデルによるアクセスも含め、データがどこでアクセスされようと保護する現代のセキュリティ戦略において欠かせない要素として浮上しています。
AIが既存の死角を明らかにした経緯
AIをめぐる盛り上がりは当然ながら、企業の関心をこれらのモデルに関連する新たなリスクへと向けさせています。セキュリティチームは、従業員が機密情報をコピー&ペーストしたり、非公開ファイルをアップロードしたり、AIサービスやワークフローの利用中に意図せず知的財産を流出させたりすることを懸念しています。
そのため各社は、承認された企業向けAIツールの保護に注力する一方で、未承認のシャドーAIモデルの利用を抑制し、導入促進と新たな脅威の回避を両立させようとしています。
これ自体は望ましいことですが、こうしたAIセキュリティへの懸念の高まりは、企業が長らく見過ごすことができていたより大きな課題を浮き彫りにしています。従業員は何年も前から、ブラウザベースのアプリケーションを通じて機密データをやり取りしてきました。AIが変えたのは、こうしたやり取りの量と可視性を一気に加速させたことだけなのです。
ブラウザセッション内で日常的に行われている操作を考えてみてください。ユーザーはアプリケーション間で情報をコピー&ペーストし、ファイルをアップロードし、レポートをダウンロードし、文書を印刷し、パートナーや共同作業者とコンテンツを共有しています。しかもこれらはすべて、異なるデバイスや場所を横断して行われています。
こうしたブラウザベースの活動は、今日のAI利用の多くと重なり合っており、私たちが直面しているのはまったく新しいセキュリティ課題ではなく、既存の課題の延長線上にあることを示しています。
企業が今取り組むべき課題は、ユーザー体験を損なったり大きく阻害したりすることなく、ブラウザ上の活動をいかに効果的に統制するかという点です。
安全なブラウザ制御のためのガイド
ビジネスはブラウザの中で行われています。そして、現代の攻撃もまたブラウザの中で行われています。
ユーザーを妨げることなく、ネットワーク内の既存のあらゆるブラウザにエンタープライズグレードの制御機能を備えた包括的なセキュリティを追加できます。
従来型セキュリティ対策が通用しなくなっている理由
業務の中心がブラウザへと移行したことで、従来型の企業セキュリティ手法が抱える重大な弱点が露呈しています。従来の制御機能は、ネットワーク境界を越えるトラフィックを検査・保護すること、あるいは管理対象の企業端末をネットワークエンドポイントで保護することを目的として設計されてきました。
これらの手法は企業セキュリティ全体において依然として重要ではあるものの、ブラウザベースのアプリケーション、サービス、モデル内で行われる増加の一途をたどるユーザー操作を統制するようには設計されていませんでした。
ハイブリッドワークの拡大は、こうした課題をさらに深刻化させています。従業員、契約社員、社外パートナーが、管理下・非管理下を問わずさまざまなデバイスから企業リソースにアクセスするようになるにつれ、一貫したアクセス・セキュリティポリシーの適用はますます困難になっています。
そのため企業は往々にして、会社所有のデバイス上では強固な保護を実現できている一方で、データが管理された環境の外に移動した後、どのようにアクセス・共有・操作されているかについてはほとんど可視性を持てていない状況に陥っています。
AIの利用は、こうした潜在的な脅威の範囲をさらに拡大し、データが保護された企業ネットワークから迅速かつ容易に流出しうる新たな経路を生み出しています。組織はアプリケーションへのアクセスを制限し、ネットワークを移動するデータを監視することはできますが、そもそもリスクを生み出しているこうした操作そのものを統制する必要があります。
機密情報をAIプロンプトにコピーする行為であれ、機密文書をクラウドプラットフォームにアップロードする行為であれ、専有データを個人デバイスにダウンロードする行為であれ、各チームはブラウザ上の活動を制御・管理する方法を見つける必要があります。
ブラウザを置き換えずに保護する
現状、企業はブラウザセキュリティを強化するためにいくつかの異なるアプローチを採用しています。従業員に全く新しい安全なブラウザ環境の導入を求める企業もあれば、仮想デスクトップインフラ(VDI)やリモートブラウザ分離(RBI)を利用してブラウザ上の活動をエンドポイントから切り離す企業もあります。
これらの手法は効果的ではあるものの、完璧とは言えません。導入の複雑さ、インフラの負荷、ユーザーの受け入れにおける課題、そして非管理デバイスへの対応範囲の限定といった問題を抱える傾向があります。
こうした非効率性への対応として、ブラウザを置き換えたり大幅に制限したりすることなく、セッションそのものを直接保護することに焦点を当てた新しいモデルが登場しています。これらのソリューションは、Chrome、Edge、Safari、Firefoxといった一般的なブラウザにインライン型のセキュリティ制御を適用し、組織が既存のワークフローを覆したり新しいAIモデルの安全な試行を妨げたりすることなく、ブラウザセッション内でのユーザー操作を統制できるようにします。
Skyhigh Security社のSecure Browser Controlsは、このようなブラウザセキュリティに対する新しい動的アプローチの一例です。既存のブラウザおよびセキュリティサービスエッジ(SSE)アーキテクチャの中で機能するよう構築されたこのソリューションは、組織が以下のような一般的なリスク行動を抑止することを可能にします。
- 機密データが関わるコピー&ペースト操作の制御
- 承認済みのアプリケーションおよびAIサービスへのアップロード・ダウンロードの制限
- 機密情報の不正な印刷や画面キャプチャの防止
- アプリケーション間のドラッグ&ドロップ操作やその他のデータ移動手段の統制
- AIプロンプト、ファイルアップロード、その他のブラウザ上のやり取りへのデータ保護ポリシーのリアルタイム適用
業務が行われる場所を守る
企業アプリケーション、コラボレーションツール、AIサービスがブラウザ内で融合を続ける中、セキュリティチームはユーザーがデータとやり取りするあらゆる場所に制御を適用できなければなりません。
Skyhigh Security社のSecure Browser Controlsは、セキュリティ制御をエンドポイントやシステム境界にのみ厳格に適用するのではなく、企業ネットワーク内で実際に業務が行われている場所に合わせて適用することを可能にします。
AIの台頭はブラウザセキュリティをめぐる議論を勢いづかせたかもしれませんが、その根底にあるトレンドはこうした新しいツールの枠を超えて広がっています。
ブラウザを企業セキュリティにおける重要な制御ポイントとして認識し、それにふさわしい形で保護することで、組織はブラウザベースのコラボレーションとイノベーションを支えながら、機密データの安全性を確保できます。
