伝統的なサイト概念の問題点
長い間、ネットワークとセキュリティにおける「サイト」の概念は、物理的なオフィスと同義でした。これには以下が含まれます：
- 本社ビル
- 支店
- 企業ネットワークに接続されたキャンパス
この伝統的なモデルは、いくつかの前提の上に成り立っています：
- 社員は主にオフィスで勤務
- ネットワークの境界でセキュリティ対策を実施
- ポリシーは、ネットワーク・トラフィックの発生源に確実に依存することができます。
しかし、こうした前提はもはや現代の職場環境の現実を反映していません。
今日、従業員の皆さん：
- 自宅、喫茶店、ホテル、その他の一時的な場所での仕事
- 一日に何度も場所を移動
- 物理的な場所に関係なく、GenAIツールを継続的に使用します。
セキュリティ・ポリシーが物理的な場所と密接に結びついている場合、いくつかの問題が発生します：
- 同じユーザーが同じ日に異なるセキュリティ・ポリシーを受ける可能性があります。
- リモートアクセス例外の累積
- GENAIコントロールは一貫性がなく、監査が困難
- セキュリティ態勢は予測不可能に変化します。
AI>Secureは、プラットフォームにおける「サイト」の意味を再定義することで、こうした課題に取り組んでいます。
AI＞セキュアでサイトが意味するもの
AI>Secureでは、サイトは単に物理的な建物を表すのではなく、ポリシーのアンカーとして機能します。サイトが表すのは
- 物理的なオフィス所在地
- 論理的なホームロケーション
- 機能的または組織的境界
- 地理に縛られないセキュリティ境界線
このような柔軟性により、組織はポリシーが必要かどうかを選択することができます：
- ユーザーをフォロー
- 場所をたどる
- または両方のアプローチのハイブリッドを導入
サイトを利用する2つの方法（どちらもサポートされています）
AI>Secureは両方のモデルを同時にサポートしています。お客様はどちらか一方、または両方を組み合わせて使用することができます。
論理サイト：ポリシーはユーザーに従う
このモデルでは
- サイトは論理的な家の場所を表します。
- ユーザーが場所を移動しても、ポリシーの一貫性は維持されます。
- 物理的な位置はポリシーの実施に影響しません
例
- サンノゼ・エンジニアリング」サイトに所属するユーザー
- 午前中は在宅勤務
- 後の喫茶店勤務
- その後、別の会社のオフィスを訪問
一日中：
- 同じGenAIポリシーが適用されます。
- 同じデータ保護規則が適用されます
- 同じ検査と執行行動が適用されます。
このモデルは次のような場合に適しています：
- ハイブリッドおよびリモートファーストのワークフォース
- 一貫したGenAIセキュリティ
- 予測可能な監査とコンプライアンス
物理的な場所ポリシーは場所に従う
このモデルでは
- サイトはネットワークトラフィックの発信地を表します。
- ポリシーは物理的またはネットワーク上の場所に応じて変更されます。
例
- 本社勤務は本社の方針を適用
- ブランチでの作業にはブランチポリシーが適用されます。
- リモートで作業する場合、リモートポリシーが適用されます。
このアプローチは特に以下のような場合に有効です：
- 地域規制の違い
- 地域によって異なる信頼度
- 既存のオペレーションモデルの維持
論理サイトもIPsecベースの透過プロキシで動作します。
よくある誤解は、論理サイトはフォワードプロキシセットアップとしか互換性がないというものです。AI>Secureでは、論理サイトは両方で機能します：
- フォワードプロキシの展開
- IPsecベースの透過的プロキシの展開
サイトの決定は明示的で、推測されるのではなく、構成によって動かされます。
フォワードプロキシによるサイト決定の仕組み
フォワードプロキシ経由でAI>Secureにアクセスする場合：
- 各論理サイトは特定のプロキシポートにマッピングされます。
- 従業員用デバイスは、関連するプロキシ・ドメインとポートでプロビジョニングされます。
- ユーザーの所在地に関係なく、トラフィックは常に同じポートに着地します
その結果
- ポートがサイトにマップ
- サイトはセキュリティプロファイルに関連付けられています。
- どこでも同じ方針
ユーザーがパフォーマンスのために最も近いAI>Secure Point of Presence (POP)に接続しても、AI>Secureはサイトマッピング、セキュリティプロファイル、およびポリシー設定がそのサイトに設定されたすべてのPOPで利用可能であることを保証します。
IPsecベースの透過プロキシによるサイト決定の仕組み
IPsecベースのデプロイメント
- 複数の専用VPNトンネルを確立可能
- 各トンネルは明示的にサイトに関連付けられます。
- トンネルに到着したトラフィックがサイトを決定
重要な詳細
- 物理的なオフィスは複数のVPNトンネルを持つことができます。
- 1つのトンネルは論理的なホームサイトを表すことができます
- 他のトンネルは、他のオフィスやモバイルユーザーからのアクセスを表すことができます。
- 透過プロキシモードでも論理サイトは保持されます
ということです：
- 敷地＝建物ではありません
- サイトはポリシー・アイデンティティを表します。
- 物理モデルと論理モデルの共存
論理サイトが可能にする追加シナリオ
サイトがポリシー・アイデンティティとして扱われると、新しいユースケースが簡単になります。
役割ベースのサイト：
- エンジニアリング
- ファイナンス
- リーガル
- エグゼクティブ
各役割は、個別のGenAIアクセス、検査深度、データ保護ルールを持つことができます。
請負業者とパートナーの分離：
- 専用の論理サイトに割り当てられた請負業者
- ネットワークを分けることなく、より厳密な管理が可能
一時的またはプロジェクトベースのサイト：
- M&A活動
- 調査
- 特別研究開発プロジェクト
- サイトの作成と削除をきれいに行うことができます。
規制の細分化
- GDPR対象ユーザー
- HIPAA関連ワークフロー
- 輸出管理チーム
- ネットワーク・トポロジーを再設計することなくセグメンテーションを実施
なぜこれがGenAIセキュリティにとって重要なのか
GenAIの使い方は：
- ユーザー主導型
- 場所に依存しない
- 終日連続
物理的な場所だけに縛られたセキュリティ管理は、もはや現代の仕事の実態にマッチしていません。サイトを柔軟なポリシーの抽象化として扱うことで、AI>Secureは以下をサポートします：
- 一貫したGenAIガードレール
- 予見可能な執行
- 政策ドリフトの減少
- 監査可能性の向上
概要
AI>セキュアで：
- サイトは、物理的なオフィスだけでなく、ポリシーアンカーです。
- サイトは論理的または物理的
- 論理サイトは、フォワードプロキシとIPsecトランスペアレントプロキシの両方のモデルで動作します。
- ポリシーは、ユーザー、場所、またはその両方に従うことができます。
- グローバルな拠点で一貫した執行
このアプローチは、セキュリティを現代の仕事とGenAI利用の現実に合わせるものです。