Microsoft Intune を使用したゼロ トラスト展開アプローチ

Microsoft Intune は、organization のゼロ トラスト体験をサポートするモバイル デバイス管理ソリューションです。

ゼロ トラストは製品やサービスではありません。 代わりに、これは、企業ネットワーク内であっても暗黙の信頼を前提としない最新のサイバーセキュリティ戦略です。 ゼロ トラスト アプローチでは、ユーザー、デバイス、またはアプリケーションを既定で信頼するのではなく、すべてのアクセス要求を明示的に検証し、リスクを継続的に評価し、デジタル資産全体に最小特権アクセスを適用します。

ゼロ トラストの中核原則は次のとおりです。

明確に確認する 最小限の特権アクセスを使用する 侵害を想定する
使用可能なすべてのデータ ポイントに基づいて、常に認証と承認を行います。 Just-In-Time と Just-Enough-Access (JIT/JEA)、リスクベースの適応型ポリシー、データ保護を使用してユーザー アクセスを制限します。 影響範囲とセグメント アクセスを最小限に抑えます。 エンドツーエンドの暗号化を確認し、分析を使用して可視性を高め、脅威検出を推進し、防御を強化します。

ゼロ トラストのエンドポイントを管理する理由

現代の企業には、組織データにアクセスするエンドポイントが信じられないほど多様です。 ユーザーは、歴史上のどの時点よりも、どこからでも、どのデバイスからでも作業します。 これにより、大規模な攻撃面が作成され、エンドポイントは簡単にゼロ トラスト セキュリティ戦略の最も弱いリンクになる可能性があります。

組織は通常、脆弱性や攻撃から PC を保護することに積極的に取り組んでいますが、モバイル デバイスは監視されず、保護されていないことがよくあります。 企業リソースにアクセスするエンドポイントを可視化することは、ゼロ トラスト デバイス戦略の最初のステップです。

データをリスクにさらさないようにするには、すべてのエンドポイントのリスクを監視し、きめ細かなアクセス制御を採用して、組織のポリシーに基づいて適切なレベルのアクセスを提供する必要があります。 たとえば、個人用デバイスがジェイルブレイクされている場合は、そのアクセスをブロックして、エンタープライズ アプリケーションが既知の脆弱性にさらされないようにすることができます。

Intune がゼロ トラストの原則 (明示的に確認し、最小特権アクセスを使用し、違反を想定) をサポートする方法の概要については、「Microsoft Intune によるゼロ トラスト」を参照してください。

7 層ゼロ トラスト展開の進行状況

デバイスの包括的なゼロ トラスト セキュリティ体制を構築するには、保護レイヤーを段階的に実装する必要があります。 各レイヤーは、基本的なデータ保護から始まり、高度な脅威検出とデータ損失防止へと進み、前のレイヤーの上に構築されています。

次の表は、ゼロ トラスト デバイス セキュリティの推奨される展開の進行状況を示しています:

Layer 保護機能 成果 前提条件 ライセンス要件
1 アプリ保護ポリシー デバイスの登録を必要とせずに、アプリ内の組織データを保護します。 Bring Your Own Device (BYOD) シナリオの基盤を作成します。 サポートされているアプリ (Microsoft 365 アプリ、ポリシーが有効なアプリ) Microsoft 365 E3、E5、F1、F3、F5
2 デバイスを登録する ユーザー、デバイス、Intune の関係を確立します。 デバイス管理と、リソースにアクセスするエンドポイントの可視性を有効にします。 プラットフォーム固有の前提条件 (MDM 機関、証明書) Microsoft 365 E3、E5、F1、F3、F5
3 コンプライアンス ポリシー デバイスが満たす必要がある最小要件 (パスワード保護、OS バージョン、暗号化) を定義します。 デバイスを準拠または非準拠としてマークします。 レイヤー 2 に登録されているデバイス Microsoft 365 E3、E5、F3、F5
4 正常で準拠したデバイスを要求する エンタープライズ ゼロ トラスト ID およびデバイス アクセス ポリシーを実装します。 ID チームと協力して、条件付きアクセスを通じてコンプライアンスを強化し、セキュリティ要件を満たしていないデバイスからのアクセスをブロックします。 レイヤー 3 からのコンプライアンス ポリシー、ID 管理者との調整 Microsoft 365 E3、E5、F3、F5
5 構成プロファイル セキュリティを強化するためにデバイス設定を構成します。 セキュリティ ベースラインをデプロイします。 セキュリティ制御をグループ ポリシーからクラウド ポリシーに移動する。 レイヤー 2 の登録済みデバイス Microsoft 365 E3、E5、F3、F5
6 デバイス リスク監視 Microsoft Defender for Endpoint と統合して、デバイス リスクを監視し、脅威を検出し、リスク レベルに基づいてアクセスをブロックします。 セキュリティ ベースラインをデプロイします。 Microsoft Defender for Endpoint のセットアップ、脅威防止チームとの調整 Microsoft 365 E5、F5
7 エンドポイント DLP Microsoft Purview データ損失防止を使用してエンドポイント上の機密データを保護します。 秘密度ラベルに基づいてファイル操作を監視および制御します。 Microsoft Purview の構成、レイヤー 6 の MDE にオンボードされたデバイス Microsoft 365 E5、E5 コンプライアンス アドオン、F5 コンプライアンス アドオン

7 つの展開レイヤーについて

このセクションでは、ゼロ トラスト展開の進行状況の各レイヤーについて説明します。 7 層の表は各層が何を達成するかを示していますが、これらの説明はコンテキスト、例、および主要な概念の説明を提供します。

登録なしのアプリ保護 (レイヤー 1)

アプリ保護ポリシーは、アプリ内の組織データを保護し、ユーザーが作業データにアクセスして共有する方法を制御します。 レイヤー 1 は、登録を必要とせずにアン マネージド個人用デバイス 上のデータを保護することに重点を置いていますが、アプリ保護ポリシーを登録済みデバイスに適用して多層防御することもできます。

ユーザーはストアから Outlook や Teams などのアプリをインストールし、職場アカウントでサインインすると、データ保護ポリシーが自動的に適用されます。 このアプローチは一般に、 登録または 個人 所有の持ち込み不要の MAM (BYOD) と呼ばれます。

例: ユーザーの個人用 iPhone に Outlook がインストールされている。 アプリ保護ポリシーでは、職場のメールにアクセスするために PIN が必要であり、仕事用データが個人用アプリにコピーされることを防ぎ、メールの添付ファイルを個人用クラウド ストレージに保存することをブロックします。 ユーザーは、組織のデータが保護されたまま、デバイスを完全に制御できます。

ヒント

アプリ保護ポリシーは、登録されていないデバイス (レイヤー 1) と登録済みデバイス (レイヤー 2+) の両方に展開して、デバイス管理を超えたアプリレベルの保護を追加できます。

詳しくは、「展開ガイダンス: アプリ保護ポリシー」を参照してください。

デバイスの登録 (レイヤー 2)

登録により、デバイスが Intune に登録され、包括的なデバイス管理が可能になります。 Intune は、アプリの展開、設定の構成、コンプライアンス ポリシーの適用を行い、デバイスの状態を完全に可視化します。

例:Windows Autopilot のセットアップ中に、会社のノート PC が Intune に登録されます。 Intune は、Wi-Fi の構成、証明書の展開、セキュリティ ベースラインのインストール、BitLocker 暗号化の適用、パスワード ポリシーへの準拠の監視を行います。

詳しくは、「 展開ガイダンス: デバイスの登録」を参照してください。

コンプライアンス ポリシー (レイヤー 3)

コンプライアンス ポリシーは、デバイスが組織のリソースにアクセスするために満たさなければならないセキュリティ要件を定義します。 これらのポリシーは、デバイスの正常性を評価し、パスワード要件、OS バージョン、暗号化状態、脱獄検出など、構成した設定に基づいてデバイスを準拠または非準拠としてマークします。

例: コンプライアンス ポリシーでは、Windows デバイスで BitLocker を有効にし、最小 OS バージョンを実行し、8 文字以上のパスワードを使用する必要があります。 BitLocker が存在しないユーザーのノート PC は、非準拠としてマークされます。 ユーザーは要件に関する通知を受け取り、アクセスがブロックされる前に修復する時間があります(レイヤー 4 を強制する場合)。

ヒント

コンプライアンス ポリシーはデバイスの状態を評価しますが、アクセスを自動的にブロックすることはありません。 条件付きアクセス (レイヤー 4) を使用して、コンプライアンス要件を適用します。

詳しくは、 展開ガイダンス: コンプライアンス ポリシーをご覧ください。

正常で準拠しているデバイスが必要 (レイヤー 4)

このレイヤーは、組織リソースへのアクセスを許可する前に、デバイスが正常で準拠していることを要求することで、エンタープライズ レベルのゼロ トラスト ID およびデバイス アクセス ポリシーを実装します。 ID チームと協力して、レイヤー 3 からのコンプライアンス決定を適用する条件付きアクセス ポリシーを Microsoft Entra ID に作成します。

このレイヤーは、評価から実施への移行を表します。 コンプライアンス ポリシーがデバイスに準拠または非準拠としてマークした後、条件付きアクセス ポリシーはそのシグナルを使用して、メール、SharePoint、Teams、その他の保護されたリソースへのアクセスを許可またはブロックします。

例: ID チームは、ユーザーが Microsoft 365 アプリにアクセスする前にデバイスを準拠としてマークすることを必要とする条件付きアクセス ポリシーを構成します。 ユーザーが、Intune によって管理されている Windows デバイスから Outlook にアクセスしようとします。 デバイスは Intune コンプライアンス要件を満たしていないため非対応です。ディスク暗号化 (BitLocker) は有効になっていません。 デバイスは準拠しているとマークされていないため、条件付きアクセスは Outlook へのアクセスをブロックし、問題を解決するようにユーザーに求めます。 ユーザーが BitLocker を有効にすると、デバイスは更新されたコンプライアンス状態を Intune に報告します。 デバイスが準拠していると評価されると、条件付きアクセスによってサインインが再評価され、Outlook へのアクセスが復元されます。

注:

このレイヤーは、ID チームとの調整が必要です。 Intune 管理センターでは Microsoft Entra ID から条件付きアクセス ノードが表示されますが、条件付きアクセス ポリシーは Intune ではなく Entra ID で作成されます。 ワークフローについては、「 ID チームの調整」セクション を参照してください。

詳細については、「 条件付きアクセスを使用して管理対象デバイスを要求する」を参照してください。

構成プロファイル (レイヤー 5)

構成プロファイルは、セキュリティを強化し、機能を有効にし、フリート全体で一貫した構成を作成するようにデバイス設定を構成します。 コンプライアンス ポリシー (レイヤー 3) がデバイスが要件を満たしているかどうかを評価する一方で、構成プロファイルは事前に設定を展開して、デバイスが正しく構成されていることを確認します。

デバイス構成プロファイルまたはエンドポイント セキュリティ ポリシーを使用して設定を展開できます。 デバイス構成プロファイルは、Wi-Fi プロファイルと VPN プロファイル、証明書の展開、パスワード ポリシー、ディスク暗号化設定、および同等のグループ ポリシーなど、幅広いシナリオをサポートします。 エンドポイント セキュリティ ポリシーは、ウイルス対策、ディスク暗号化、ファイアウォール、攻撃面の縮小、エンドポイントの検出と対応などのセキュリティ設定に重点を置いた合理化されたエクスペリエンスを提供します。

例: Windows セキュリティ ベースラインを企業のラップトップに展開します。 ベースラインでは、Windows ファイアウォールの有効化、BitLocker 暗号化の構成、レガシ プロトコルの無効化、攻撃面の減少ルールの有効化、その他多くのセキュリティ設定の構成を行います。 ユーザーはこれらの設定を手動で構成する必要はありません。Intune によって自動的に適用されます。

ヒント

セキュリティ基本計画は、Microsoft で推奨されるセキュリティ設定を含む事前構成済みのプロファイルです。 それらを出発点として使用し、organization のニーズに基づいてカスタマイズします。

詳細については、「 構成プロファイルの展開」を参照してください。

デバイス リスク監視 (レイヤー 6)

デバイス リスク監視では、Microsoft Defender for Endpoint と Intune が統合され、継続的な脅威の検出、デバイス リスク評価、リスクベースのアクセス制御が追加されます。 このレイヤーは、静的なコンプライアンス チェックから、アクティブな脅威にリアルタイムで対応する動的なセキュリティ監視に移行します。

デバイスを Microsoft Defender for Endpoint にオンボードすると、セキュリティ テレメトリと脅威インテリジェンスのレポートが開始されます。 Defender は、検出された脅威、脆弱性、セキュリティ体制に基づいて、各デバイスにリスク レベル (セキュリティ保護、低、中、高、または使用不可) を割り当てます。 コンプライアンス ポリシーでこのリスク レベルを使用して、リスクの高いデバイスからのアクセスをブロックしたり、修復アクションをトリガーしたりできます。

例: ユーザーのノート PC がマルウェアに感染します。 Microsoft Defender for Endpoint は脅威を検出し、デバイスを危険度 - 高としてマークします。 デバイス リスクを評価するコンプライアンス ポリシーでは、デバイスは直ちに非準拠としてマークされます。 条件付きアクセスは、脅威が修復され、デバイス リスクが許容レベルに戻るまで、ユーザーの組織リソースへのアクセスをブロックします。

ヒント

Defender for Endpoint を Intune と統合すると、Microsoft Defender for Endpoint セキュリティ ベースラインや高度な脅威保護設定 (攻撃面の減少ルール、制御されたフォルダー アクセス、ネットワーク保護など) など、より詳細なセキュリティ構成を展開することもできます。

詳細については、「Microsoft Defender for Endpoint の統合」を参照してください。

エンドポイントのデータ損失防止 (レイヤー 7)

エンドポイントのデータ損失防止は、Microsoft Purview を使用して、コピー、印刷、アップロード、または転送操作を通じて機密データがマネージド エンドポイントから流出するのを防ぎます。 以前のレイヤーはリソースへのアクセスを保護しますが、このレイヤーは、ユーザーが機密ファイルを操作する方法を監視および制御することで、データ自体を保護します。

レイヤー 6 の Microsoft Defender for Endpoint にオンボードされたデバイスは、追加の Intune 構成なしでエンドポイント DLP 用に自動的にオンボードされます。 コンプライアンス チームは、Microsoft Purview ポータルで DLP ポリシーを作成し、保護アクションをトリガーする秘密度ラベル、ファイルの種類、またはコンテンツ パターンを定義します。

例: コンプライアンス チームは、DLP ポリシーを作成して、"機密" というラベルの付いたファイルが USB ドライブにコピーされたり、個人用クラウド ストレージにアップロードされたりできないようにします。 ユーザーが機密の財務諸表を USB ドライブにコピーしようとします。 エンドポイント DLP は操作をブロックし、制限について説明する通知を表示します。 コンプライアンス チームがポリシーをどのように構成したかに応じて、ブロックが絶対ブロックになる場合もあれば、ユーザーがビジネス上の正当な理由を指定して続行することを許可する場合もあります。 すべてのアクティビティは、コンプライアンス レポートのためにログに記録されます。

注:

Intune 管理者としてのエンドポイント DLP の役割は、デバイスが Microsoft Defender for Endpoint (レイヤー 6) にオンボードされていることを確認することに限定されています。 すべての DLP ポリシーの作成と管理は、コンプライアンス チームによって Microsoft Purview ポータルで行われます。

詳細については、「 エンドポイント DLP について」 と「 エンドポイント DLP の使用を開始する」を参照してください。

登録とオンボード

これらのレイヤーを実装する際には、登録とオンボードという 2 つの関連した異なる概念を扱います。 違いを理解することで、各レイヤーで何が起こっているかを明確にすることができます。

登録 (レイヤー 2) では、包括的なデバイス管理のために Intune にデバイスを登録します。 オンボード (レイヤー 6 から 7) では、Microsoft Defender for Endpoint や Microsoft Purview などの特定のサービスに情報を報告するようにデバイスが構成されます。

登録 オンボード
目的 Intune で管理するデバイスを登録します。 Intune は、アプリ、設定、ポリシーを含むデバイス全体を管理します。 特定の Microsoft 365 サービス (現在は Microsoft Defender for Endpoint および Microsoft Purview) と情報を共有するようにデバイスを構成します。
スコープ 完全なデバイス管理—設定の構成、アプリの展開、コンプライアンスの適用、デバイスの正常性の監視。 サービス固有の機能のみ。 たとえば、MDE にオンボードすると脅威の検出が有効になります。Purview にオンボードすると DLP が有効になります。
この展開で レイヤー 2: デバイスを Intune 管理に登録します。 レイヤー 6: Intune を使用して Microsoft Defender for Endpoint にデバイスをオンボードします。
レイヤー 7: MDE にオンボードされたデバイスは、Microsoft Purview エンドポイント DLP 用に自動的にオンボードされます。
方法 プラットフォーム固有の登録方法: Microsoft Entra 参加 (自動登録)、Windows Autopilot、Apple 自動デバイス登録、手動登録。 Intune を使用して、登録済みデバイスにオンボード構成を展開します。 デバイスは、MDE または Purview にオンボードする前に、Intune に登録する必要があります。

注:

Microsoft Defender for Endpoint にオンボードすると、エンドポイント DLP を含む Microsoft Purview 機能のデバイスが自動的にオンボードされます。 追加の Intune 構成は必要ありません。

Microsoft 365 チームとの調整

ゼロ トラスト デバイス セキュリティを実装するには、organization内の複数のチーム間での調整が必要です。 あなたが Intune ポリシーを管理している間、他のチームは保護を強化するために連携する補完的なサービスを管理します。

ID チーム (Microsoft Entra ID)

その責任:条件付きアクセス ポリシーを管理し、認証要件を構成し、Microsoft Entra ID テナントを管理します。

あなたの調整:

  • アプリ保護ポリシー (レイヤー 1) を作成したら、ID チームと協力して、承認されたアプリを必要とする条件付きアクセス ポリシーを作成します。
  • コンプライアンス ポリシー (レイヤー 3) を作成した後、準拠デバイスを必要とする条件付きアクセス ポリシーを調整します。
    1. Intune でコンプライアンス ポリシーを作成して割り当てて、デバイスの要件を定義します。
    2. ID チームは、Microsoft Entra 管理センターで条件付きアクセス ポリシーを作成します。
    3. 条件付きアクセス ポリシーは、"デバイスを準拠者としてマークすることを要求する" 制御の許可を使用します。
    4. 両方のポリシーが同じユーザー グループを対象としていることを確認します。
    5. 強制を有効にする前に、条件付きアクセス What If ツールを使用して一緒にテストします。
  • ワークフローの詳細については、「 条件付きアクセスを使用する一般的な方法」を参照してください。
  • ポリシーの作成については、「 条件付きアクセスを使用して管理対象デバイスを要求する」を参照してください。

関連ガイダンス:Intune を使用した条件付きアクセス

脅威防止チーム (Microsoft Defender)

その責任:Microsoft Defender for Endpoint サービスの設定と管理、脅威の調査、セキュリティ オペレーション センター (SOC) ワークフローの管理を行います。

あなたの調整:

  • Intune を使用してデバイスを Microsoft Defender for Endpoint (レイヤー 6) にオンボードする
  • Windows セキュリティ ベースラインと Defender for Endpoint セキュリティ ベースラインの両方をマネージド デバイスに展開する
  • コンプライアンス ポリシーにフィードされるデバイス リスク シグナルを Defender から受信する
  • 検出された脆弱性や構成ミスを修正するために Defender セキュリティ管理者によって作成された Intune セキュリティ タスクでの操作
  • 管理対象デバイスで脅威が検出された場合のインシデント対応を調整する

関連するガイダンス:

データ セキュリティおよびプライバシー チーム (Microsoft Purview)

その責任: Microsoft Purview でデータ秘密度スキーマを定義し、DLP ポリシーを作成し、コンプライアンス要件を管理します。

あなたの調整:

  • エンドポイント DLP をサポートするようにデバイスがオンボードされていることを確認する (レイヤー 6 の MDE オンボードでは自動)
  • DLP ポリシーに含める、または除外する必要があるユーザー グループを特定する
  • Microsoft Purview ポータルでのデバイスの可視性を確認する
  • DLP ポリシーがデータ操作をブロックまたは警告する場合のユーザー教育のサポート

注:

Intune 管理者としてのエンドポイント DLP の役割は、デバイスが Microsoft Defender for Endpoint にオンボードされていることを確認することに限定されています。 MDE にオンボードされたデバイスは、追加の Intune 構成なしで自動的に DLP 対応になります。 すべての DLP ポリシーの作成と管理は、コンプライアンス チームによって Microsoft Purview ポータルで行われます。

関連するガイダンス:

チーム横断的な連携のベスト プラクティス

  • 各レイヤーの初期展開中に定期的な調整ミーティングを確立します。
  • ドキュメントの所有権 - どのチームがどのポリシーを管理しているかを明確にします。
  • 一緒にテスト - 適用の前に監査モードと What If ツールを使用します。
  • ユーザー グループに合わせて調整 する - サービス間で一貫したグループ割り当てを確保します。
  • コミュニケーションの計画 - ポリシーがユーザー エクスペリエンスに影響を与える可能性がある場合に、ユーザー通知を調整します。
  • 監視責任を共有する - 各チームはサービスを監視しますが、ユーザーへの影響に関するインサイトを共有します。

次の手順

ゼロ トラスト デバイス セキュリティの概要:

ゼロ トラストの詳細情報:

高度な保護レイヤーを調べる:

  • Last updated on