Office 365 を安全に利用するリモートワーク環境の実装について – Cloud Steady

この記事は更新から24ヶ月以上経過しているため、最新の情報を別途確認することを推奨いたします。

はじめに

最近、働き方改革のひとつとして挙げられるリモートワーク（テレワーク／在宅勤務）の導入をご検討するお客様が増えています。特にリモートワークは自宅でも仕事ができるという点から、台風や地震といった災害時、今回の新型コロナウィルスの感染拡大の防止策といったBCP（事業継続計画）の一環としても必要性が非常に増してきています。

リモートワーク導入に踏み切れない課題とは

しかしながら、効果やメリットは理解されているにも関わらず、その反面で下記のような課題に直面して導入が進まないケースも多いのではないでしょうか？

■ 情報漏えいなどのセキュリティ面のリスク

・機密データの社外持ち出し

・自宅PCや私的モバイルデバイスの利用

・会社管理PCを社外で利用

■ リモートワークのためのIT環境の導入・運用コスト

・ VDI や VPN は高コストで整備できない

自宅からでも安全に Office 365 を利用できるリモートワーク環境を実現

Office 365 をご利用中のお客様であれば、Microsoft 365 によるセキュリティソリューションを追加して活用いただくと「メールやデータのダウンロードを禁止し、自宅環境に機密データを残さない」というセキュリティ対策を簡単かつ迅速に実施することができます。

本稿では、この要件を満たす「Microsoft Cloud App Security を利用したセッション制御機能」をご紹介いたします。

セッション制御機能により下記の制御をかけることができます。

ダウンロードをブロックする
切り取り／コピー／貼り付けをブロックする
印刷をブロックする

ご用意いただくもの

(現在、ご利用中の) Office 365 Business Premium/E1/E3/E5
　　＋
Enterprise Mobility + Security E3
　・ Azure Active Directory P1
　・ Microsoft Intune

会社管理PCを自宅に持ち帰って使用するケースを想定している場合は、デバイス保護強化も効果的な対策です。

Microsoft Defender Advanced Threat Protection
※本稿での説明は割愛させていただきます。ご了承ください。

設定手順

設定は下記の３つの手順となります。

[STEP.1] Azure AD の条件付きアクセスでセッション制御を有効化する
[STEP.2] Microsoft Cloud App Security でセッション制御の有効化を確認する
[STEP.3] Microsoft Cloud App Security でセッションポリシーを設定する

[STEP.1] Azure AD の条件付きアクセスでセッション制御を有効化する

セッション制御を有効にするために「条件付きアクセス」でポリシーを作成します。

Azure Active Directory 管理センター (https://aad.portal.azure.com) にサインインし、
[Azure Active Directory] -> [セキュリティ] -> [条件付きアクセス] -> [新しいポリシー] の順にクリックします。
ポリシー作成の新規画面で、[割り当て] -> [クラウドアプリまたは操作] の順にクリックし、
[アプリを選択] から「Office365 Exchange Online」「SharePoint Online」を選択します。
ポリシー作成の新規画面で、[割り当て] -> [条件] -> [クライアントアプリ (プレビュー)] の順にクリックし、
[構成] で「はい」を選択し、[ブラウザー] のみにチェックを付けます。
ポリシー作成の新規画面で、[割り当て] -> [条件] -> [デバイスの状態 (プレビュー)] の順にクリックし、
[構成] で「はい」を選択し、[対象外] として [ハイブリッド Azure AD 参加済みデバイス] と [デバイスは準拠としてマーク済み] に
チェックを付けます。

この設定で「会社管理ではない端末（＝自宅PCや私的モバイルデバイスなど）から Exchange Online または SharePoint Online にアクセスする場合は、ブラウザーのみに限定する」ポリシーとなります。
個人が所有する端末を設定無しで利用可能となるため運用負荷が高まることもありません。

ポリシー作成の新規画面で、[アクセス制御] -> [セッション] の順にクリックし、[アプリの条件付きアクセス制御を使う] にチェックを付け、「カスタムポリシーを使用する」を選択します。

この設定で「Microsoft Cloud App Security で設定したポリシーに基づいてセッション制御する」というポリシーとなります。

[STEP.2] Microsoft Cloud App Security でセッション制御の有効化を確認する

[STEP.1] で設定した条件付きアクセスによるセッション制御が有効になっていることを確認します。

先ずは Exchange Online、SharePoint Online にサインインします。
Office 365 サインインページ（https://www.office.com/signin）
Cloud App Security 管理ポータル（https://portal.cloudappsecurity.com）にサインインし、
[調査] -> [接続アプリ] -> [アプリの条件付きアクセス制御アプリ] の順にクリックします。
一覧に Exchange Online と SharePoint Online が表示されていることを確認します。

[STEP.3] Microsoft Cloud App Security でセッションポリシーを設定する

最後に Microsoft Cloud App Security でセッションポリシーを作成します。
「ファイルのダウンロードをブロックするポリシー」と「画面の切り取り／コピー／貼り付け／印刷をブロックするポリシー」の２つを作成します。

Cloud App Security 管理ポータル（https://portal.cloudappsecurity.com）にサインインし、
[制御] -> [ポリシー] -> [ポリシーの作成] -> [セッションポリシー] の順にクリックします。

【ファイルのダウンロードをブロックするポリシー】

セッションポリシーの作成画面で、[ポリシーテンプレート] 欄から [リアルタイムのコンテンツ検査に基づいてダウンロードをブロックします]
を選択し、[テンプレートを適用] をクリックします。
[検査方法] 欄から「なし」を選択します。

【画面の切り取り／コピー／貼り付け／印刷をブロックするポリシー】

セッションポリシーの作成画面で、[ポリシーテンプレート] 欄から
[リアルタイムのコンテンツ検査に基づいて切り取り、コピー、貼り付けをブロックします] を選択し、
[テンプレートを適用] をクリックします。
[アクティビティソース] -> [ポリシーにアクティビティフィルターを追加する] の
[アクティビティの種類] 欄の右側にあるドロップダウンリストで
[Print], [Cut/Copy item], [Paste item] のすべてにチェックを付ける。
[コンテンツ検査] 欄の [有効] チェックボックスのチェックを外します。

設定は以上で終了です。

導入支援について

当社では「Microsoft 365 で実現する安全なリモートワーク環境」の導入支援サービスをご提供しております。
設定・構成についての支援や継続的な運用サポートを必要とするお客様は是非ご相談ください。

▼ Microsoft 365 で実現する安全なリモートワーク環境の導入支援サービス
https://cloudsteady.jp/solution/m365-remotework