一時的なアクセスを恒久的なファイアウォールポリシーにしてはならない

一時的なアクセスは、いつの間にか恒久的なものになりがちです。

プロジェクト、ベンダー対応、移行、緊急の要求のためにルールが作成されます。作成時点では、なぜそのルールが存在するのかを誰もが把握しています。しかし数か月後には、その背景情報を見つけ出すことは難しくなります。

誰が申請したのか。誰が承認したのか。どのようなビジネス上の必要性に基づくものか。そのアクセスは今も必要なのか。

こうした情報がなければ、技術的には妥当なファイアウォールルールであっても、評価は困難になります。

だからこそ、実効性のあるポリシー管理では、ルールが何を許可しているかを把握するだけでは不十分です。チームはさらに、 そのルールがなぜ存在し、誰が責任を負っているのかを把握する必要があります。

判断が新しいうちにコンテキストを記録する

上記の動画では、FireMonでグローバルフィールドエンジニアリングを統括するシニアディレクター、Rob Rodriguezが、ファイアウォールルールの背景にあるビジネスコンテキストをSecurity Manager上で直接文書化する方法を紹介しています。

このコンテキストには、たとえば次のような情報を含められます。

• ビジネス上の正当性
• 事業部門
• ルールのオーナー
• 申請者と承認者
• 変更管理情報
• 次回レビュー日
• 有効期限

Robが示す例には「Temp Access」というラベルが付いており、ポリシー管理によくある問題を浮き彫りにしています。

一時的なアクセスが必要になることはあります。リスクが生じるのは、そのアクセスをいつ終了すべきかを判断する明確な仕組みがない場合です。

有効期限やレビュー予定日を設定すれば、チェックポイントが生まれます。数か月後に当初の申請内容を誰かが覚えていることに頼るのではなく、判断を見直すために必要な情報をポリシー自体が保持することになります。

ルールを後から評価しやすくする

技術的な設定が示すのは、そのファイアウォールルールが何をするのかです。

ドキュメントが示すのは、そのルールがなぜ存在するのかです。

この違いは、環境が拡大し、チームの顔ぶれが変わるほど重要になります。

作成から6か月後にそのルールをレビューするエンジニアは、当初の申請に関与していないかもしれません。アプリケーションのオーナーは異動しているかもしれません。プロジェクトはすでに終了しているかもしれません。ベンダーとの取引も続いていないかもしれません。

オーナーとビジネス上の正当性が分からなければ、チームはそのアクセスが今も妥当かどうかを判断する前に、ルールの経緯を一から洗い出さざるを得ません。

こうした情報を最初に記録しておけば、将来のレビューははるかに容易になります。

「このルールが何のためのものか分かる人はいますか」と尋ねるのではなく、実務担当者は文書化された目的、オーナー、レビュー時期を出発点にできます。

一時的なアクセスには終了日を設定する

一時的なルールには特に注意が必要です。本来の目的が、特定の事象や期間に結び付いていることが多いためです。

メンテナンスウィンドウ、移行、テスト期間、サードパーティとの契約、短期的な業務要件などが該当します。

有効期限やレビュープロセスを設けずにルールを作成すると、当初の必要性がなくなった後も長期にわたってアクセスが残り続ける可能性があります。

望ましいプロセスは、技術的なルールをビジネス上のライフサイクルと結び付けます。

アクセスにオーナー、正当性、レビュー日が設定されていれば、そのアクセスを維持すべきかどうかを問う明確な根拠が得られます。

これは、期日が来たすべての一時的なルールを自動的に削除するという意味ではありません。既定のままアクセスが無期限に継続することを避け、意図的なレビューの機会を設けるということです。

ファイアウォールルールをガバナンスされた意思決定へ

ルールを単なる設定オブジェクトではなくビジネス上の意思決定として扱えば、ファイアウォールポリシーの管理は容易になります。

FireMonは、技術的なポリシーと、そのアクセスを継続的に管理するために必要なオーナー、正当性、レビュー情報とを結び付けることを支援します。

その結果、アクセスが存在する理由がより明確に記録され、それが今も必要かどうかを判断する現実的な手段が得られます。

問われているのは、そのルールが今日機能するかどうかだけではありません。明日もなお、組織がそのアクセスを理解し、責任を持ち、必要としているかどうかです。

ファイアウォールポリシー管理にビジネスコンテキストを取り入れましょう。 FireMon Security Manager が、複雑な環境全体でセキュリティポリシーの把握、文書化、ガバナンスをどのように支援するのかをご覧ください。