操作性を損なわずリスク低減するエンタープライズブラウザ

企業におけるSaaSやWebアプリケーション利用は年々拡大しており、Webブラウザ（以下、ブラウザ）は今や業務インフラの中核的存在だ。

しかし、「エンドポイント保護の強化が進む一方で、エンタープライズ機器としてのブラウザのセキュリティ強化に関しては改善の余地が大きい」と、野村総合研究所 DX基盤事業本部 IT基盤技術戦略室 チーフリサーチャーの亀津敦氏は指摘する。

VPNの脆弱性を突いたランサムウェア攻撃の被害は後を絶たず、多くの企業がSASEやSSEへの移行を進めているが、私用スマホでの画面撮影や生成AIへの不用意な入力といった内部不正を完全に防ぐのは難しい。

こうした課題に対応する新たなアプローチがエンタープライズブラウザだ。グーグルがオープンソースで提供する「Chromium」を活用し、一般向けと同等の操作性を維持しながら企業向けの高度なセキュリティ機能を実装した製品が各社から登場している。

エンタープライズブラウザは、情報漏洩や不正操作を防ぐ機能をブラウザそのものに実装していることが大きな特徴である。機能の概要を図表1に示す。危険なWebサイトへのアクセスや不要な拡張機能の利用、ファイルのダウンロードを制限することで、マルウェア感染や情報流出のリスクを抑える。

図表1　エンタープライズブラウザの共通的機能

内部不正への対策機能も豊富だ。コピー&ペーストの制御や、ファイルのアップロード制限に加え、画面撮影やビデオ会議中の画面共有による情報漏洩の抑止につながる電子透かしの挿入や機密情報のマスキング機能を持つ。

利便性を損なわずに高いセキュリティを実現できる点も強みだ。仮想デスクトップ環境を提供するVDIやDaaS、Webコンテンツの描画をクラウド側で行うRBI（リモートブラウザ分離）は、操作画面の転送や処理がネットワーク経由で行われるため、表示や操作のレスポンスに影響が出やすい。対して、エンタープライズブラウザはローカルで動作するため、一般的なブラウザと変わらない操作感を維持できる。また、接続先が社内システムや特定アプリに限定されることの多いセキュアブラウザとは異なり、Web全体にアクセスできることが基本設計だ。

さらに、VDIのように仮想化基盤を必要とせず、端末にインストールするだけで導入できる。ポリシーをクラウドで一元管理でき、BYODや、委託会社やフリーランスが参画する環境でもセキュリティを担保しやすい。

一方、限界もある。エンタープライズブラウザが保護するのは、あくまでブラウザで表示されるコンテンツであり、ローカルアプリの保護は不可能だ。レガシーな業務システムや、標準的なWebプロトコルに準拠しないコンテンツには対応が難しい場合もある。

VDI/DaaSのように環境全体の隔離も行えない。トラフィック自体を監視するわけではないので、より安全な活用にはSWGやファイアウォール、CASBなどとの連携が推奨される。