端末と記録を見守る

1端末の動作と、守るデータを見る

同じ情報流出の心配でも、「端末が不審な動きをしているか」と「機密データが外へ出ようとしているか」では見る対象が違います。

EDR（端末の動作を検知・分析し事故対応を支援する仕組み）は、パソコンなどの端末の動作を記録・分析し、感染などの検知、隔離や調査を支援します。例えば不審なプログラムの動きを追う場面です。既知の不正ファイルを見つけるマルウェア対策ソフトとも組み合わせます。

DLP（機密情報を識別して漏えいにつながる操作を監視・制御する仕組み）は、機密データを識別し、外部送信やコピーなどを監視・制御します。例えば顧客名簿が外へ送られようとしているかを、データの内容に着目して調べます。攻撃の通信だけを見る仕組みではありません。

EDRはEndpoint Detection and Response（端末での検知と対応）、DLPはData Loss Prevention（情報漏えい防止）の略です。端末の動作を追うか、守る情報の持出しを追うか、という違いを手掛かりにします。

2ばらばらの記録をつなげる

SIEM（Security Information and Event Management：セキュリティ情報・イベント管理）は、複数の機器やサービスのログを集め、関係を分析して異常の発見を助けます。例えばログイン失敗と後続の大量ダウンロードを合わせて調べます。

MDM（Mobile Device Management：携帯端末管理）は、業務用スマートフォンなどの設定やアプリを管理し、紛失時のロックやデータ消去を支援します。収集する記録と管理権限を決め、利用者へ運用を知らせます。

3場所だけで信用しない

ゼロトラストは、社内ネットワークだから安全と一律に信頼せず、利用者、端末状態、アクセス先などを確認して必要な権限を与える考え方です。社外・社内のどちらでも適切に認証・認可します。

多要素認証は構成要素の一つですが、それだけでゼロトラストの全てが完成するわけではありません。境界のファイアウォールも役立ちますが、内部に入った後を無条件に信頼する運用に依存しません。

この過去問では内部・外部を問わず確認する選択肢を選びます。二要素認証の導入だけでゼロトラストの設計・運用が完成したと理解してはいけません。

4社内からのアクセスも条件を確かめる

社内ネットワークにつながった端末から、顧客情報へアクセスする場面を考えます。場所だけで信頼しないためには、「社内だから許可」で終わらせず、利用者・端末の状態・アクセス先を確認します。

• 利用者は誰か：必要に応じて多要素認証などで確かめる。
• 端末は適切な状態か：設定やパッチの適用などを管理する。
• その情報が必要か：本人の仕事に必要な範囲の権限を与える。

二要素認証だけ、パッチ適用だけを行えば、ゼロトラストの設計・運用が全て完成するわけではありません。内部端末の一部だけを保護して、ほかを無条件で信頼する運用にも注意します。社内・社外のどちらでも、対象に合う確認と管理を組み合わせることが要点です。