Chrome Enterprise Premium で実現するゼロトラストモデル事例 ～運用セキュリティと開発アジリティの両立～

Google Workspace による認証・認可と Chrome Enterprise Premium の Context-Aware Access を組み合わせ、信頼されたデバイスとブラウザのみを利用可能とする仕組みを導入しました。さらに、DLP（データ損失防止）を活用し、データ移動の制御を徹底しました。
その結果、端末の自由度や開発の迅速性を損なうことなく、機密データの漏洩リスクを大きく低減できました。
この取り組みの背景、具体的な手法、得られた知見をご紹介します。

インフラ エンジニア / システム運用管理者
セキュリティ エンジニア
セキュリティ
Google Workspace

Transcript

1. Chrome Enterprise Premium で実現する ゼロトラストモデル事例 ～運用セキュリティと開発アジリティの両立～ パーソルキャリア株式会社 テクノロジー本部 ITマネジメント&インフラ･セキュリティ統括部 ※本資料は2025年8月時点の情報です
2. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 2 自己紹介 01 我々が直面した 2 つの課題 02 CEP 導入で解決するスコープ 03 導入技術 04 導入結果 05 まとめ 06
3. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 3 会社紹介（自己紹介）
4. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 4 砂川 鉄雄 パーソルキャリア株式会社 テクノロジー本部 ITマネジメント＆インフラセキュリティ統括部 インフラ部 クラウド基盤グループ 事業会社のインフラエンジニアとして20 年以上従事。 近年はクラウド環境における組織的なガ バナンス・セキュリティ整備に加え、エ ンジニアの生産性向上を目的とした開発 環境の支援や運用最適化に従事。 PROFILE Tetsuo sunagawa マネジャー
5. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 5 戸田 尚希 SIerと事業会社にてインフラ・クラウドエ ンジニアを経験。 2023 年より現職のパーソルキャリア株式 会社に参画。GWSとGoogle Cloudを主軸 としたサービス開発環境の運用改善に従事。 PROFILE パーソルキャリア株式会社 テクノロジー本部 ITマネジメント＆インフラセキュリティ統括部 インフラ部 クラウド基盤グループ Naoki toda リードエンジニア
6. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 社 名 本 社 創 業 資 本 金 事 業 内 容 従 業 員 数 6 パーソルキャリア株式会社 東京都港区 1989年6月 1,127百万円 人材紹介サービス、求人メディアの運営、 転職・就職支援、採用・経営支援、 副業・兼業・フリーランス支援サービスの提供 7,048名 （有期社員含む グループ会社出向中の者は除く 2025年3月1日時点）
7. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 7
8. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 8 我々が直面した 2 つの課題
9. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 9 従来環境の課題 『生産性』と『セキュリティ』のジレンマ 1 3 2 境界型防御の限界 機密データ取り扱い デバイスのソフトウェアの制限
10. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 10 新環境のコンセプト ゼロトラスト・セキュリティの採用 クラウド中心のデータ管理 開発者の生産性向上
11. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 11 新環境の課題 『自由』と『統制』のジレンマ 開発者に与えた「自由」（管理者権限、自由なソフト導入）と 背中合わせになる、新たなセキュリティリスクへの対応
12. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 12 CEP 導入で解決するスコープ
13. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 13 課題解決のアーキテクチャ全体像 ＊ Google Cloud 、Google Workspace および Chrome は、Google LLC の商標です。
14. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 14 CEP を用いたセキュリティ強化のステップ ＊ Google Cloud 、Google Workspace および Chrome は、Google LLC の商標です。
15. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 15 導入技術
16. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 16 CAA によるコンテキストベースのアクセス制御 Context Aware Access（CAA）とは？ アクセス時の状況を評価し、 接続の可否を動的に判断する セキュリティの仕組み コンテキストとは？ 認可判断の際に参照する セキュリティに関する情報
17. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 17 CAA によるアクセス制御のあるべき姿 CAA 適用前 CAA 適用後 ID / パスワード認証のみに依存したアクセス 認証されていれば、アクセス元の状態を問わず 機密データにアクセス可能。 このため、悪意ある内部関係者による情報持ち 出しや、ID 漏洩時の不正アクセスを技術的に防 ぐことが困難。 コンテキストに基づいた動的なアクセス認可 認証に加え、アクセス時の様々な状況（デバイス の状態、場所、時間、振る舞いなど）をリアルタ イムに評価し認可。ポリシーを満たさない場合は 、たとえ本人であってもアクセスをブロックした り、操作を一部制限したりすることが可能に。
18. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 18 CEP によるアクセス制御の設定ステップ 1 3 2 前提準備としてデバイスのコンテキストを 収集するため Chrome ブラウザを組織に登録。 デバイス コンテキストの収集 アクセス許可の条件（IP アドレス、OS バージョン、 デバイス状態など）を「アクセスレベル」としてルール化。 Access Levels の定義 定義したアクセスレベルを各サービス （Google Cloud、Google Workspace）に適用し、 条件を満たさないアクセスをブロック。 CAA ポリシーの設定 ＊ Google Cloud 、Google Workspace および Chrome は、Google LLC の商標です。
19. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 19 導入効果 主要サービス群へのコンテキストに応じたアクセスコントロールの実装に成功 ＊ Google Cloud 、Google Workspace および Chrome は、Google LLC の商標です。
20. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 20 対策 CAA の適用を除外するアプリケーションを restrictedClientApplication で指定する # CAA の設定ファイルを作成 $ cat > settings.yaml << EOF scopedAccessSettings: - scope: clientScope: restrictedClientApplication: name: Cloud Console activeSettings: accessLevels: - accessPolicies/999999999999/accessLevels/xxx_xxx EOF
21. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 21 DLP による機密情報の保護 Data Loss Prevention（DLP）とは？ ユーザーが機密情報を許可した範囲の外と 共有しようとした際にその操作を検知し、 ブロックや警告を行うことで 情報漏洩を未然に防ぐ仕組み
22. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 22 DLP によるデータ保護のあるべき姿 DLP 適用前 DLP 適用後 認可ベースのデータアクセス ファイルへのアクセス権があれば、 その中に機密情報が含まれていても転送が可能。 このため、従業員の誤操作による 意図しない情報漏洩を、 システム的に防ぐことが困難 機密情報の属性に応じた動的なアクション制御 ファイルの転送時に内容を リアルタイムでスキャン。 検知した機密情報の重要度に応じて アクションを動的に変更。 高リスク情報： 強制的にブロック 中リスク情報： 利用者に警告 低リスク情報： 監査ログに記録のみ
23. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 23 DLP による機密データ保護の設定ステップ 1 3 2 保護対象の情報と、ルールを適用する範囲、スキャンのきっかけとなる操作を定義 ルールの作成 ルール違反を検知した際に実行するアクションを設定 アクションの設定 ルール違反時のアラート設定とインシデント レポートの集約 アラートとレポートの設定
24. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 24 導入効果 機密情報の転送検知・制御 機密情報を動的に検知し ポリシーに該当したリクエストを 制御できるようになった。 機密情報のやり取り可視化 検知したリクエストを アラート センターに集約。 機密情報のやり取りを 把握できるようになった。 運用課題 • 特定の業務において ポリシーの例外としたい 機密情報のやり取りがあるが、 自動的な判別が困難 • DLP 適用の例外設定を運用するため のコストが高い
25. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 25 導入効果 ルールの設定 （例：メールアドレスの件数超過） 想定通りのアクション 想定外のアクション 社外の宛先にポリシーで定めた件数以上の メールアドレスを含むデータが 送信された場合に検知・制御。 Google カレンダーで 複数の宛先へ送った招待が ポリシーに該当してしまう。
26. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 26 導入結果
27. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 27 CEP 導入前後の比較 課題 Before After デバイスの信頼性証明 利用者の自己管理やルールに依存 客観的な信頼性評価が可能に 機密情報へのアクセス デバイスの状態に関わらず アクセスできるリスク CAA によりデバイス状態に合わせた 動的なブロックの実現 柔軟な制御はできていない 機密情報の持ち出し ファイル転送の制御が不十分 機密情報の転送を検閲することが可能に 一部のブロックが未設定なことや、詳細な条件に応じ た動的なアクションの変更は今後の課題。 セキュリティの考え方 技術的な統制に穴あり ゼロトラストの一部実現 評価に利用するコンテキストの拡充や、より動的な制 御は今後の課題
28. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 28 まとめ
29. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 29 まとめ 1 3 2 『自由と統制』という新たなジレンマの発生 背景と課題 CEP によりコンテキスト ベースのアクセス制御（ CAA ）と 情報漏洩対策（ DLP ）を実装 導入したソリューション 『自由と統制』のジレンマを解消する第一歩に 導入による効果 4 今後の展望 「あるべき姿」に向けた運用改善
30. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. 30 さまざまなテーマで事例や知見を学ぶ IT・テクノロジー人材のための勉強会コミュニティ 「TECH Street」でも当社の事例を公開しています。 「techtekt（テックテクト）」は、パーソルキャリアのエンジニアブログです。 “みんなの「はたらく」をテックでつくる”をコンセプトに、 技術、組織、学びなど、さまざまな情報を発信しています。
31. Copyright © PERSOL CAREER CO., LTD. All Rights Reserved. ご清聴ありがとうございました 31