シナリオ・実技の面接

まず前提として、出社か在宅か、IdP と MDM があるか、PC の機種を確かめます。どちらもあると仮定すると、時間のかかる PC の発注とライセンスの確保を最初に行い、次に人事システムの入社のデータから IdP と SCIM でアカウントを自動で作ります。部署のグループで SaaS と権限が決まるようにして、100人分を手作業で作らないのがポイントです。

端末はゼロタッチのキッティングにして、届いた箱を開けてサインインするだけで使えるようにします。当日は MFA の登録で詰まる人が多いので、手順書と情シスが会場で支える時間を用意し、予備の PC も数台置きます。初日の午前中に全員がログインできた割合と問い合わせの件数を測り、次の入社に生かします。

最初に回線を申し込みます。開通まで数週間から数か月かかることがあり、3か月の中でいちばん遅れやすいからです。止まらないように、別の事業者の回線かモバイル回線を予備にします。並行して、人数と業務、本社のシステムを使うかを確かめ、ほかの拠点や VPN、クラウドと重ならない IP の範囲を割り当て、社員・ゲスト・機器の VLAN を設計します。

SaaS が中心なら拠点からインターネットに直接出し、社内システムは ZTNA か拠点間 VPN でつなぎます。機器はクラウド管理のものを本社で設定してから送り、現地の作業を減らします。現地には情シスがいないので、構成図と切り分けの手順、連絡先を置き、開設前に Wi‑Fi と Web 会議、回線の切り替えを試験します。

一度に止めると業務が止まるので、段階的に進めます。まず VPN のログから、誰がどの社内システムを使っているかを棚卸しします。次に ID の守りを固め、全員を IdP の SSO と MFA に乗せ、古い認証方式を止めます。そのうえで MDM で端末の準拠を判定し、条件付きアクセスの条件にします。最初は通知だけにして、準拠していない端末の数を減らしてから止めます。

アプリは、利用者の多いものから SaaS に置き換えるか ZTNA で公開し、問い合わせの数を見ながら移します。Web 以外の古いアプリは、例外として VPN を一部に残す計画も入れます。全部移ったら VPN の利用者を絞り、最後に止めて、機器の契約も見直します。

最初の1か月は、変えるより知ることに使います。アカウント、端末、SaaS、ネットワーク機器の一覧と、管理者の権限を誰が持っているかを洗い出し、困っていることを各部署に聞きます。その中で、事故につながるリスクの大きいものを優先します。例えば MFA がない、退職者のアカウントが残っている、バックアップを戻したことがない、管理者のパスワードを共有している、などです。

2〜3か月目は、MFA の全員への適用や退職の手順のチェックリスト化など、すぐ効く対策から進め、問い合わせをチケットで受けるようにして件数を見えるようにします。1人で全部はできないので、キッティングや夜間の監視のように外に任せられるものを整理し、半年から1年の計画を経営と合意します。