こんにちは！ネットワークの裏側やセキュリティの世界を覗き見するのが大好きな技術ライターです。
インフラやネットワークの世界へようこそ！「ゼロトラスト」や「SASE（サセ）」といったバズワード、最近あちこちで耳にしませんか？「なんだか難しそう……」「英略語が多くてお腹いっぱいだよ！」という声が、画面の向こうから聞こえてきそうです。
大丈夫です。一歩ずつ、身近な例えから紐解いていけば、決して難しくありません。今回は、これからのセキュリティの合言葉である「コンテキストベースアクセス制御」について、一緒にじっくり見ていきましょう！
—
1. 昔ながらの「合言葉」と、これからの「総合判断」
ネットワークの世界に初めて足を踏み入れたとき、私たちはこう教わりました。
「会社の内側にいれば安全。社外から入る時は、IDとパスワードという『合言葉』を正しく言えればOK！」と。
これは、頑丈な城壁のなかにいれば安全だった、昔の王様スタイル（境界防御）です。でも、リモートワークが当たり前になり、みんながカフェや自宅から社内のシステムにアクセスする現代では、この「合言葉（ID/PW）」だけでは、あまりにも無防備になってしまいました。パスワードが万が一盗まれたら、泥棒が堂々と正面玄関から入ってきてしまいますよね。
そこで登場するのが、SASE（Secure Access Service Edge）という仕組みと、その中で重要な役割を持つCASB（Cloud Access Security Broker）です。これらは、クラウドの力を使って、会社の外にいても強力なセキュリティの守りを実現してくれます。
郵便配達でイメージしてみましょう！
想像してみてください。あなたの大切な私物が詰まった荷物が、実家に届こうとしています。
- 昔のやり方： 宛先の住所（IPアドレス）が合っていれば、誰が受け取りに来ても、ハンコさえもらえば荷物を渡してしまう。
- これからのやり方（コンテキストベース）： 郵便局員さんが、こう考えます。
- 「ん？ 宛先は合っているけれど、届け先の国が普段と違う海外（位置情報）になっていないか？」
- 「深夜3時（時間帯）に配達を要求してきていないか？」
- 「受け取りに来た人は、本人確認書類（デバイスの健全性）をちゃんと持っているか？」
このように、「誰が」だけでなく、「どこから」「どんな状態で」「いつ」アクセスしているかという、周囲の状況（＝コンテキスト）を総合的に見極めて、門前払いにしたり、厳重なチェックを課したりする仕組み。それがコンテキストベースアクセス制御なんです。
—
2. コンテキストを構成する3つの要素
では、SASEやCASBが判断材料にする「コンテキスト（状況証拠）」とは、具体的にどんなものなのでしょうか？大きく3つに分けて見ていきましょう！
① デバイスの信頼性（会社の持ち物か、ボロボロの私物か？）
アクセスに使っているパソコンやスマホが、会社のセキュリティ基準を満たしているかをチェックします。
- ウイルス対策ソフトは最新にアップデートされているか？
- ファイアウォール（不正侵入を防ぐ盾）は有効になっているか？
- 会社が管理している安全なデバイス（MDM導入済みなど）か？
② 位置情報（どこからアクセスしているか？）
地球上のどこから扉を叩いているかを確認します。
- 普段は日本からアクセスしているはずなのに、数分後に地球の裏側からアクセスが来たら、「怪しい！」と判断できますよね。
- 社員が許可されたオフィスや、安全な自宅の回線からアクセスしているかも重要な手がかりになります。
③ 時間帯（働く時間として自然か？）
- 朝の9時から夜の8時までの一般的な就業時間帯であればスムーズに通すけれど、日曜日の真夜中に、普段アクセスしない巨大な顧客データをダウンロードしようとしたら……？これはもう、アラートを鳴らすべき怪しい動きです。
—
3. 実務の設定例を覗いてみよう！
「理屈はわかったけれど、実際の現場ではどうやって動いているの？」
そんな疑問に答えるために、SASEやゼロトラスト製品（Cloudflare AccessやOkta、Microsoft Entra IDなど）でよく使われる、ポリシー設定のイメージをコード風に覗いてみましょう！
小難しい専門用語は置いておいて、日本語のコメントを頼りに読んでみてくださいね。
# ゼロトラスト・アクセス制御ポリシーのサンプル設定
policy_name: "機密ファイルサーバーへのアクセス制御"
# アクセスを許可する条件の定義（すべて満たす必要がある場合）
conditions:
# 1. ユーザー属性のチェック
user_group:
- "総務部"
- "経営企画部"
# 2. デバイスの信頼性チェック（コンテキスト①）
device_compliance:
must_be_managed: true # 会社管理のデバイスであること
antivirus_active: true # ウイルス対策ソフトが稼働していること
# 3. 位置情報のチェック（コンテキスト②）
allowed_locations:
- "Japan" # 日本国内からのアクセスのみ許可
- "United States" # （出張中の米国オフィスも許可リストに含める例）
# 4. 時間帯のチェック（コンテキスト③）
allowed_time_window:
start_time: "08:00" # 朝8時以降
end_time: "21:00" # 夜9時まで
exclude_weekends: true # 土日は原則としてアクセス不可
# すべての条件をクリアした場合のアクション
action: "ALLOW" # 扉を開けて通す！
# 条件から外れた場合のアクション（デフォルト）
default_action: "BLOCK_AND_CHALLENGE" # 扉を閉めて、多要素認証（2段階認証）を追加要求するどうでしょう？見慣れない設定ファイルでも、日本語のコメントを読むと「あぁ、こういうルールでガードマンが判断しているんだな」とイメージが湧きませんか？
実務の現場では、この設定がクラウド側（SASEの基盤）で一元管理され、ユーザーがどこにいてもリアルタイムに判定を下してくれます。
—
4. まとめ：これからのインフラエンジニアに必要な視点
今回は、コンテキストベースアクセス制御について、郵便配達の例えや設定例を交えて解説しました。
- 境界防御の限界： 「社内だから安全」という考え方はもう古い。
- 総合的な判断： ユーザーIDだけでなく、デバイスの状態・場所・時間をあわせてチェックする。
- SASEとCASBの役割： クラウド上でこれらを一括して安全に見守ってくれる頼もしい相棒。
インフラやネットワークの世界に初めて触れるとき、次々と新しい技術が出てきて圧倒されてしまうかもしれません。でも、根本にあるのは「どうやって大切な情報やシステムを安全に守り、そして正当なユーザーに気持ちよく使ってもらうか」という、とてもシンプルで人間味のある工夫の積み重ねです。
この「状況を見て判断する」というコンテキストの視点を持てば、明日からのセキュリティニュースや学習も、ぐっと面白く感じられるはずですよ。
それでは、また次回の技術散歩でお会いしましょう！一歩ずつ、楽しく学んでいきましょうね！
コメント