ゼロトラスト・SASE

デバイスポスチャ評価でばいすぽすちゃひょうか

ゼロトラストエンドポイントセキュリティコンプライアンスチェックNACMDMZTNA

デバイスポスチャ評価について教えて

簡単に言うとこんな感じ！

会社のネットワークに入ろうとしているパソコンやスマホが「ちゃんと安全な状態か」を入口でチェックする仕組みだよ。OSは最新？ウイルス対策ソフトは動いてる？みたいな健康診断を通過したデバイスだけを中に通すってこと！

デバイスポスチャ評価とは

デバイスポスチャ評価（Device Posture Assessment） とは、ネットワークやクラウドサービスへのアクセスを許可する前に、接続しようとしているデバイス（PC・スマートフォン・タブレットなど）のセキュリティ状態を自動的に検査・採点する仕組みのことです。「ポスチャ（Posture）」とは英語で「姿勢・状態」を意味し、デバイスがどれだけセキュリティ的に健全な状態にあるかを指します。

ゼロトラストセキュリティの根本的な考え方は「何も信頼しない、すべて検証する」です。デバイスポスチャ評価はその「検証」を実現する核心的な技術で、「会社のVPNに繋いでいるから安全」「社内ネットワーク内にいるから大丈夫」という古い前提を打ち破ります。OSのパッチ適用状況、セキュリティソフトの稼働状態、ディスク暗号化の有無などを毎回チェックし、条件を満たさないデバイスはアクセスを拒否または制限します。

実務上は、リモートワークの普及で「どこからでも業務システムにアクセスできる」環境が当たり前になったことで、その重要性が急速に高まりました。会社が管理していない個人のPCや、パッチ当て忘れのノートPCが社内システムに侵入する経路となるリスクを、デバイスポスチャ評価は入口で遮断します。

チェック項目と評価の仕組み

デバイスポスチャ評価では、以下のような項目を自動的に検査します。

チェックカテゴリ	具体的な確認内容	合格の目安例
OSの状態	バージョン・パッチ適用状況	Windows 11 最新パッチ適用済み
セキュリティソフト	導入・有効化・定義ファイルの鮮度	24時間以内に更新済み
ディスク暗号化	BitLocker / FileVaultの有効化	暗号化済み
ファイアウォール	OS標準FWの有効化	有効
デバイス管理	MDM（モバイル端末管理）への登録	会社のMDMに登録済み
証明書	デバイス証明書の有効性	有効な企業証明書を保持
スクリーンロック	自動ロックの設定	5分以内に設定
ルート化・脱獄	スマホの不正改造	検出されない

覚え方：「OSDFMS」でポスチャの主要チェックを押さえる

OS更新・Securityソフト・Disk暗号化・Firewall・MDM登録・Sクリーンロック

これら6項目がデバイスポスチャの基本セットです。

評価結果に応じた3段階のアクセス制御

評価の結果は「合格/不合格」の二択だけでなく、段階的なアクセス制御に活用できます。

ポスチャスコア: 高（全項目クリア）
  → 全社システムへのフルアクセスを許可

ポスチャスコア: 中（一部未達）
  → 低リスクシステムのみ許可 ＋ 修復ガイダンスを表示

ポスチャスコア: 低（重大な未達あり）
  → アクセス拒否 ＋ セキュリティ担当者へアラート

歴史と背景

2000年代初頭：企業ネットワークへの接続制御として NAC（Network Access Control） が登場。接続前にデバイスの状態を確認する概念が生まれる
2004年：Cisco が NAC（Network Admission Control） を発表。ウイルス対策ソフトの状態チェックが接続条件に使われ始める
2010年代前半：スマートフォン・タブレットの業務利用（BYOD）が急増。MDM（Mobile Device Management） との連携によるポスチャ管理が普及
2014年：Googleが社内ゼロトラスト実装「BeyondCorp」を論文発表。デバイスの信頼性をネットワーク位置ではなくデバイス状態で判断するモデルを提唱
2020年：コロナ禍によるリモートワーク急拡大で、VPN一本槍の限界が露呈。ゼロトラスト移行とともにデバイスポスチャ評価への注目が急騰
2020年以降：SASE（Secure Access Service Edge） や ZTNA（Zero Trust Network Access） サービスにポスチャ評価が標準機能として組み込まれ、専用製品なしでも利用できる時代へ

ゼロトラストアーキテクチャにおける位置づけ

デバイスポスチャ評価は「誰が（ユーザー認証）」「どのデバイスで（ポスチャ評価）」「何にアクセスするか（アクセス制御）」という3つの検証軸のひとつです。

デバイスポスチャ評価の主要製品・サービス比較

製品・サービス	提供形態	特徴
Microsoft Intune	クラウド	Microsoft 365と統合。Conditional Accessと連携しやすい
CrowdStrike Falcon	クラウド	EDRとポスチャ評価を一体化。脅威検知との連動が強み
Okta Device Trust	クラウド	IDaaSと組み合わせてユーザー＋デバイスを一元管理
Zscaler ZPA	SASE	SASEプラットフォームにポスチャ評価を内包
Google BeyondCorp	クラウド	Googleの社内実装を商用化。Chrome OSと親和性高
Cisco ISE	オンプレ/クラウド	従来型NACの大手。複雑な社内環境に対応

規格・RFC番号	内容
NIST SP 800-207	ゼロトラストアーキテクチャの定義。デバイスポスチャをトラスト判定の主要要素として規定
RFC 7591	OAuth 2.0 Dynamic Client Registration。デバイス登録・認証フローの基盤
RFC 8705	OAuth 2.0 Mutual-TLS Client Authentication。デバイス証明書によるクライアント認証