デバイスポスチャとは、ノートパソコン、スマートフォン、ワークステーションなどのエンドポイントデバイスにおけるリアルタイムのセキュリティおよびコンプライアンス状態です。これは、信頼できコンプライアンスに準拠したデバイスのみが、ビジネスまたはエンタープライズ組織のネットワークとアプリケーションにアクセスできるようにするうえで重要な役割を果たします。
デバイスポスチャは、デバイスが企業の定めるすべてのセキュリティポリシーに準拠しているかを評価するのに役立ちます。つまり、次のような項目を確認します。
オペレーティングシステム：OSは最新の状態で安全ですか？
ファイアウォール設定：ファイアウォールは稼働しており、適切に構成されていますか？
ウイルス対策ソフトウェア：特定のOS（Windowsなど）で必要な場合、インストールされ、稼働し、更新されていますか？
ディスク暗号化：機密データはフルディスク暗号化で保護されていますか？
リソースへのアクセスを要求するデバイスのセキュリティ状態を評価することで、組織はそれらのデバイスが自社の特定のセキュリティ基準を満たしているという信頼を確立できます。これは、ビジネスデータを保護し、セキュリティリスクを低減するために不可欠です。
デバイスポスチャを適切に適用するには、リアルタイム監視とアクセス制御の両方が役立ちます。リアルタイム監視では、デバイス属性を継続的に監視してコンプライアンスを維持し、デバイスのセキュリティ状態に変化があった場合に迅速に対応できます。また、組織はデバイスポスチャに基づいてアクセス制御を適用し、準拠したデバイスだけが機密リソースに接続できるようにすることもできます。
「デバイスポスチャ」の意味（そして今それが重要な理由）
常時接続が当たり前のこの世界では、組織のデバイスポスチャを長期的に成功させるうえで、セキュリティが極めて重要になっています。エンドポイントの健全性をリアルタイムで監視することで、ネットワークに接続されたあらゆるデバイスをすばやく評価し、アクセスを許可するかどうかを判断できます。
Okta（IDセキュリティ）、Omnissa（ワークスペース管理）、Zscaler、Palo Alto Networks、Cisco、CrowdStrike、Citrix、NordLayerといった企業はいずれも、デバイスポスチャに注力しています。一方、デバイスポスチャに主に依存している2つの主要分野は、サイバーセキュリティとヘルスケアです。
Varonisによると、「医療データ侵害は依然として最も高額で、平均コストは742万ドルです。前年の977万ドルからは減少しています。」また、Retail Technology Reviewは侵害の72%が保護されていないワイヤレスデバイスによって引き起こされたと報告しています。
デバイスポスチャを活用していれば、こうした安全でないワイヤレスデバイスが組織のリソースへのアクセスを許可されることはなく、侵害件数を削減できたはずです。
つまり、デバイスポスチャとは、望ましくないデバイスが組織のリソースにアクセスするのを防ぐことです。適切なシステム（たとえばCloudflare Zero TrustポスチャチェックやMicrosoft Intune）を使用すれば、このプロセスは簡素化されるだけでなく自動化も可能になり、エンドポイントデバイスのチェックに人の介入が不要になります。
ポスチャチェックで使用される主なシグナル
デバイスポスチャで最も一般的（かつ重要）なポスチャチェックには、次のものがあります。
パッチと更新：アクセスを要求しているデバイスには最新のセキュリティパッチが適用されていますか？
マルウェア対策：それらのデバイスにはウイルス対策ツールやマルウェア対策ツールが含まれていますか？
ディスク暗号化：機密情報を保存またはアクセスするデバイスでフルディスク暗号化が使用されていますか？
USBポートの空き状態：USBポートに外部デバイスが接続されていませんか？
ユーザー認証：対象のデバイスにアクセスする前に、ユーザーは適切に認証されていますか？
脆弱なアプリケーション：デバイスに脆弱なアプリケーションがインストールされていませんか？
フィッシング対策：デバイスにはフィッシング対策ツールが含まれていますか？
メモリ使用率：マシンのメモリ使用率はどの程度ですか？使用率が高い場合、不審なアクティビティを示している可能性があります。
管理対象か非管理対象か: デバイスは管理対象ですか、それともBYOD（個人所有デバイスの業務利用）ですか？
生体認証の状態: 生体認証を使用するデバイスで、最新かつ安全な状態になっていますか？
EDR/AVの状態: 承認済みのエンドポイントセキュリティエージェントがデバイス上で実行されており、最新の状態ですか？
MDM登録/管理状態: デバイスは登録されており、現在のポリシーに準拠していますか？
SIEM監視とデバイスポスチャの監視について詳しくは、Bitwardenのイベントログの監視をご覧ください。
実際の適用の仕組み
デバイスのセキュリティを継続的に評価・監視することで、ビジネスおよびエンタープライズ組織は、全体的なセキュリティポスチャを大幅に強化できます。デバイスがネットワークに接続しようとすると、そのセキュリティ状態を評価するためのアセスメントが行われます。このチェックには、ポスチャチェックで使用される主要シグナルに記載されているすべての属性が含まれます。
デバイスは、組織が作成した特定のデバイスポスチャプロファイルと照合されます。これらのプロファイルには、セキュリティソフトウェアの有無、組織のポリシーへの準拠、構成設定、リアルタイム監視を含めることができます。
デバイスが組織のポリシーに準拠している場合、アクセスが許可されます。デバイスが定められたセキュリティ基準を満たさない場合は、修復アクションがトリガーされます。これには、ユーザーへの通知、アクセスの制限、デバイスを準拠状態にするための変更方法の案内などが含まれます。
その後、デバイスポスチャの準拠状況に関するレポートが生成され、組織は全体的なセキュリティ状況をより適切に把握できます。
ポリシーエンジンとコネクタ
ポリシーエンジンはセキュリティポリシーを定義して適用し、コネクタはそれらのポリシーがすべてのシステムとアプリケーションに適用されるようにします。
例としては、次のようなものがあります。
ルール管理では、リソースへのアクセス方法と使用方法を定めるポリシーを作成・管理できます。
このポリシーエンジンにより、すべてのポリシーが組織全体で一貫して適用されます。
監査では、ポリシー準拠の監視と監査に必要なツールが提供されます。
一部のポリシーエンジンでは、リスクベースのアクセスポリシーを作成でき、特定の機密性の高い操作に追加の検証を要求できます。
IdP/トンネル連携
IDプロバイダー/トンネル連携（IdP/トンネル連携）は、リソースへの安全なアクセスを確保しながら、認証プロセスを効率化します。
IDプロバイダーは、ユーザーIDを管理し、認証サービスを提供する特定のサービスです。IDプロバイダーの主な機能には、ユーザー認証、シングルサインオン、ユーザー管理が含まれます。
トンネル連携とは、インターネット上に確立される安全な接続を指し、多くの場合、VPN（仮想プライベートネットワーク）による追加のセキュリティが提供されます。
例外パターン（BYOD/非管理対象）
一部の組織ではBYODを許可しています。BYODはBring Your Own Deviceの略であり、限定されたスコープ、仮想デスクトップインフラストラクチャ（VDI）、読み取り専用アクセスなどの追加の補完的統制が必要です。これは、完全なポスチャを利用できない場合に特に必要です。ユーザーのデバイスがデバイスポスチャポリシーを満たしていることを確認するための特定のプラットフォームがあります。これらのプラットフォームは、企業データを個人デバイスに残さず、スケーラブルなエージェントレスソリューションを使用して複雑なモバイルデバイス管理（MDM）を不要にし、データ漏えいを防ぎます。
デバイスポスチャはセキュリティチェックポイントのようなものと考えてください。デバイスが会社のリソースにアクセスする前に、エンドポイント保護によって要件への準拠が確認されます。非準拠のデバイスは、重要なアプリケーションやリソースから自動的にブロックされます。
実装チェックリスト
デバイスポスチャを実用的な手順で展開するには、次のチェックリストを検討してください。
インベントリとギャップ分析: 現在のデバイスと必須チェック項目を照合する
「健全な」デバイスを定義する:最小OSバージョン、暗号化、EDR、MDM登録済み
シグナルをポリシーに連携:ポスチャ情報のソースをIdP/プロキシに接続し、許可/ステップアップ/拒否ルールを作成
パイロット運用と監視:1つのアプリグループから開始し、拒否/許可を測定して、偽陰性があれば修正
拡大と調整: より厳格なルールを段階的に追加（例: 脱獄/root化されたデバイスをブロック）
Infotechは、ダウンロード可能なデバイスポスチャチェックリストを提供しており、このプロセスを少し簡単にできます。
Bitwardenの位置づけ
Bitwarden Password Managerは、パスワードレス認証のサポートを含め、IDと認証情報を保護します。これらはすべてゼロトラストデバイス戦略に適合しています。Bitwardenでは、ビジネスおよびエンタープライズ組織は、次の機能を利用できます:
デバイスでログインにより、パスワードレスアクセスが可能になり、パスワードの露出を減らし、既存の信頼済みデバイスから承認を得られます。詳しくは、別のデバイスでログインする方法をご覧ください。
新しいデバイスの検証は、認識されていないデバイスに対してのみ追加の手間を発生させます。これは、新しいデバイスのログイン保護で実現する方法を確認できます。
運用状況の可視化は、イベントログおよびSIEM連携を使用してアクセスとポリシーの結果を監視することで実現できます。
Access Intelligenceは、管理者がリスクのある認証情報を特定して修復し、脆弱なデバイスをすり抜けるフィッシング攻撃の成功を減らすのに役立ちます。詳しくは、こちらのAccess Intelligence プレゼンテーションをご覧ください。
今すぐBitwardenを利用する
デバイスポスチャに注力する一方で、認証が重要な役割を果たすことも忘れてはなりません。ネットワーク上のすべてのデバイスをコンプライアンスに準拠させるには、それらのデバイスを使用するユーザーにパスワードマネージャーの利用を推奨（または義務付け）する必要があります。脆弱なパスワードや使い回しのパスワードの使用を避けることで、デバイスポスチャが強化されます。
デバイスポスチャを改善する手段としてBitwardenを導入する方法について詳しく知るには、まずこちらのブログ「スマートデバイスを安全に保つための戦略」をご覧ください。その後、すべてのプランと料金を確認し、デバイスポスチャ改善への取り組みを始めましょう。