職場の PC にブラウザー ポリシーを適用する方法: 7 ステップ (ステップ)

01ブラウザのルールとその例外を定義する

曖昧な言葉は強制力を弱めます。 「責任を持ってインターネットを使用する」ということは、IT 部門にサイトのブロック、アクティビティの確認、または繰り返される違反への対応についての明確な根拠を与えません。何が許可され、何が制限され、何が承認を必要とするかを定義します。

ほとんどの中小企業の場合、ブラウザ ポリシーは、ビジネスと個人の使用、禁止されている Web サイトのカテゴリ、ファ​​イルのダウンロード ルール、個人の Web メールとクラウド ストレージの制限、承認されたブラウザ拡張機能、パスワード マネージャーの使用、プライベート ブラウジング、および Web アプリケーションでの企業データの処理をカバーする必要があります。また、活動が監視されているかどうか、および企業がどのような記録を保持しているかも記載する必要があります。

すべての部門を同じように扱うことは避けてください。経理担当者は、銀行ポータルやベンダーの支払いシステムにアクセスする必要がある場合があります。マーケティングにはソーシャル プラットフォーム、メディア ライブラリ、出版ツールが必要になる場合があります。包括的な制限は正当な業務を妨げ、従業員が制御を回避するよう仕向ける可能性があります。すべてのユーザー用のデフォルト ポリシーを作成してから、役割、デバイス グループ、または部門ごとに例外を作成します。選択した管理システムがその範囲をサポートする場合にのみグループを使用します。書面によるポリシー内の部門名によって、自動的に技術的な境界が作成されるわけではありません。

例外を期限付きで文書化します。ベンダー ポータルにアクセスする必要が一時的に生じたとしても、企業のブラウザ コントロールに永続的にアクセスできるようになるべきではありません。

各ルールをテスト可能にします。例: 「承認された拡張機能のみが管理対象ブラウザにインストールできます。リクエストはビジネス目的、所有者、有効期限とともに IT 部門に送られます。」影響を受けるブラウザ、デバイスまたはユーザー グループ、設定、予想される結果、例外の所有者、および確認日を記録します。 職場監視ポリシーでは、関連する活動のレビューについて説明する必要があります。

02Chrome と Edge でブラウザ設定を一元的に適用する

承認されたブラウザを標準化し、中央管理システムから管理します。管理されたベースラインにより、セキュリティ設定の一貫性の維持、障害のトラブルシューティング、更新が行われていない職場 PC の特定が容易になります。

ブラウザー ポリシー設定は、Windows グループ ポリシー、モバイル デバイス管理、エンドポイント管理プラットフォーム、またはサポートされているブラウザーが提供するエンタープライズ管理ツールを通じて展開できます。正しい選択は、既存の環境によって異なります。 Windows ドメインに参加している PC があるオフィスには、グループ ポリシーで十分な場合があります。ハイブリッド チームやリモート チームでは、コンピュータがオフィス ネットワークの外で長時間過ごす可能性があるため、多くの場合、クラウド ベースのデバイス管理が必要になります。

設定を割り当てる前に管理範囲を選択してください

Chrome の場合、管理対象ユーザー アカウントに適用されるポリシーと、登録されたブラウザに適用されるポリシーを区別します。 Google は、登録済みブラウザー ポリシーではユーザーのサインインは必要ありませんが、アカウント ポリシーは管理されたサインイン コンテキストに依存すると説明しています。 Google の Chrome ポリシー展開ガイダンスで、職場の PC がどの範囲に含まれるかを確認してください。

グループ ポリシーで管理されている Windows PC の場合は、ブラウザ ベンダーの最新の管理テンプレートをインストールし、目的のコンピュータまたはユーザー スコープを選択して、ポリシーをパイロット グループに割り当てます。 Microsoft Edge は必須設定と推奨設定の両方をサポートしています。 従業員が設定を上書きしてはいけない場合は、必須ポリシーを使用します。 推奨設定は、ユーザーが変更できるデフォルトです。サポートされている導入パスについては、Microsoft の Edge ポリシー構成ガイドに従ってください。

ベースライン構成では、従業員がセキュリティ、データ制御、または可視性に影響を与える設定を変更できないようにする必要があります。ブラウザーの更新、拡張機能のインストール、承認された検索プロバイダー、パスワードのエクスポート、ダウンロードの処理、および組み込みのセキュリティ保護を確認します。強制として扱う前に、各設定のブラウザーのバージョン、プラットフォームのサポート、範囲、再起動の要件を確認してください。

代替ブラウザを見逃さないでください。 Chrome をロックダウンしても、Edge、Firefox、またはその他のインストールされているブラウザーを制限しないままにしておくと、従業員はアプリケーションを簡単に切り替えることができます。承認されたすべてのブラウザに一致するポリシーを適用するか、企業がサポートしていないブラウザを削除します。ここではエンドポイント アプリケーションの制御が不可欠です。

設定ごとに 1 人の所有者を持つポリシー レジスタを保持します。グループ ポリシー、デバイス管理、およびブラウザー クラウド サービスがすべて同じオプションを構成している場合は、PC 上の有効なポリシーを検査し、競合を解決します。導入成功のメッセージだけでは、従業員のブラウザがどの値を使用しているかはわかりません。

03拡張機能、ブラウザ プロファイル、ダウンロードを制御する

拡張機能には、その権限によってページ コンテンツの読み取り、スクリーンショットのキャプチャ、スクリプトの挿入、トラフィックのリダイレクト、または機密情報へのアクセスが許可される可能性があるため、特に注意が必要です。多くは生産性向上ツールとして販売されていますが、その権限によりビジネス情報が公開される可能性があります。

実用的であれば、拡張子の許可リストを使用します。文書化されたビジネス目的、許容可能な権限、および社内の責任ある所有者を持つ拡張機能のみを承認します。サポートされている各ブラウザーでの開発者モード インストールと外部拡張機能ソースの制御を確認し、未承認の拡張機能が別のインストール ルートを通じて追加できないことをテストします。

Chrome と Edge は、拡張機能管理用の ExtensionSettings ポリシーを公開します。デフォルト ルールは未承認の拡張機能を制限できますが、特定の拡張機能 ID は適切な例外を受け取ります。デフォルトを変更する前に、既存のポリシーに競合がないか確認してください。 Chrome 拡張機能ポリシー と Edge 拡張機能管理 についてはベンダーの指示に従ってください。すべてのフィールドまたはインストール オプションがブラウザ間で同じように動作すると想定しないでください。

この制御により、サポート作業も軽減できます。未承認のクーポン ツール、ダウンロード マネージャー、AI アシスタント、プロキシ ツール、画面録画拡張機能を制限すると、ブラウザーが遅くなったり予期せぬ動作をしたときに IT 部門が調査する必要がある未知のコンポーネントの数が減ります。

Web サイトだけでなく、アカウントとアクションも確認してください

ブラウザー プロファイル、サインインした Web アプリケーション、および企業デバイスは別のものです。クラウド ストレージ ドメインを許可すると、そのサービスでビジネス アカウントと個人アカウントの両方が許可される場合があります。どのアカウントとアップロード先を承認するかを決定し、アカウント レベルまたはコンテンツに応じた制限が必要な場合は、サービスのアクセス制御または適切なデータ保護ツールを使用します。

同様に、ダウンロード設定自体はファイルのアップロードを妨げません。ベースラインにはパスワードの保存とエクスポート、個人同期、ゲスト プロファイル、プライベート ブラウジング、ダウンロードが含まれますが、それぞれに利用可能なポリシーを確認してください。プライベート ブラウジングが引き続き利用可能な場合は、そのモードで関連するコントロールをテストします。 URL ルールは、機密ファイルのコンテンツに対する制御に代わるものではありません。

04承認された作業を保持しながら危険な Web サイトをブロックする

Web サイトのフィルタリングは、実際の作業をサポートしながらビジネスを保護する必要があります。明らかに気を散らすものだけをブロックするだけでは十分ではありません。有用なポリシーは、生産性、セキュリティ、またはデータ損失のリスクを生み出すサイトと Web サービスを制限します。

フィルタリング サービスがカテゴリ ブロックをサポートしている場合は、それを開始点として使用してください。正規のサイトが誤って分類される可能性があり、危険なサービスが無害なカテゴリ内に収まる可能性があります。管理者が例外を作成できるように、正確なブロック リストと許可リストを維持します。ブロックされたサイトのリクエストを迅速に確認します。正規のクライアント ポータルまたはサプライヤー サイトへのアクセスが遅れると、有用な作業が中断される可能性があります。

リモート従業員の場合、ブラウザ ポリシーはオフィスのファイアウォールに完全に依存すべきではありません。自宅、ホテル、または公共 Wi-Fi にあるラップトップが会社のネットワークを通過することはありません。管理対象ブラウザまたはエンドポイントに適切なコントロールを適用し、オフィスから離れた場所でテストします。管理接続が利用できない場合に、ポリシーの更新、キャッシュされた設定、監視がどのように動作するかを確認します。

ブラウザ URL ポリシー、安全な Web ゲートウェイ、DNS フィルタリング、およびエンドポイント Web サイト制御は、さまざまなレベルで動作します。要件を満たすレイヤーを選択し、その限界をテストします。ネイティブ ブラウザーの URL リストは、自動化された Web サイト カテゴリ データベースではなく、ドメインをブロックしても、許可されたすべてのアップロードのコンテンツが検査されるわけではありません。

サインイン、リダイレクト、支払いページ、ファイル プレビュー、サプライヤーのサブドメインなど、完全なビジネス ジャーニーをテストします。 職場のコンピュータで Web サイトをブロックするガイドでは、対象となる Web サイトのルールと例外について詳しく説明しています。

05エンドポイント制御によるブラウザ ポリシーのサポート

エンドポイント自体が制御されている場合、ブラウザー ポリシーはより強力になります。従業員がポータブル ブラウザをインストールしたり、VPN アプリケーションを実行したり、ファイルを USB ドライブにコピーしたり、未承認のリモート デスクトップ ツールを使用したりできる場合、ブラウザの構成だけでは問題は解決されません。

標準ユーザーのローカル管理者権限を制限します。ソフトウェアのインストールには適切なオペレーティング システムまたはデバイス管理コントロールを使用し、従業員が実行できるものにはアプリケーション コントロールを使用します。データ処理が必要な場合は、リムーバブル ストレージを制御します。スタッフが必要とする会社承認のツールを維持しながら、未承認のプロキシ、VPN、およびリモート アクセス ツールを制限します。これらの措置は、ブラウザーの制限に関する一般的なギャップに対処します。

Net Monitor for Employees Pro は、管理者が 1 つの管理コンソールから Web サイトやアプリケーションをブロックしたり、従業員のライブ画面を表示したり、画面アクティビティを記録したり、Web サイトやアプリケーションの使用状況を確認したりできるようにすることで、運用制御を追加します。これは、フィルタリング イベントにコンテキストが必要な場合に役立ちます。権限を与えられたレビュー担当者は、関連するアクティビティと報告されたビジネス ニーズを比較し、悪用に関する結論を出す前にその説明について議論することができます。

検証されたスコープでインターネット コントロールを使用する

インターネット コントロール Web ヘルプでは、Web サイトの許可/ブロック モードとアドレス リストについて説明します。プロファイルを適用する前に、[すべてのコンピュータに同じ設定を使用する] チェックボックスをオンにします。これにより、グローバル プロファイルを適用するかコンピュータごとの設定を適用するかが決まります。再起動後にルールを再開する必要がある場合は、コンピュータの起動時にルールを自動的に開始することを確認し、構成を適用して、ターゲット PC で結果を確認します。トラブルシューティングのためにTemporary allow all websites する場合は、後で目的のポリシーを復元して再テストしてください。

サポートされているアプリケーションの制限についてはアプリケーションとプロセスを使用し、実行できるブラウザとツールを計画するときは未承認ソフトウェア ガイドを確認してください。実行制御とインストール制御は、さまざまなアクションに対応します。拡張機能管理やプロファイル サインインなどのブラウザ設定は、引き続きブラウザまたはデバイス管理システムに属します。

制御機能は慎重に使用してください。目標は、業務を遂行する従業員に不必要な摩擦を生じさせないことです。それは、繰り返される非生産的な行為、安全でないデータの取り扱い、不正なツールを、セキュリティ インシデントやコストのかかる管理上の問題になる前に阻止することです。

06有用なアクティビティ記録を保持し、対応を定義する

記録されたブロック イベントは、特定の要求が拒否されたことを示しています。これだけでは、従業員にビジネス上の理由があったのか、別のサービスを利用したのか、または要求を繰り返したのかを説明することはできません。ツールが実際に提供するレコードを、関連する作業コンテキストと組み合わせます。すべての Web サイト制御機能がブロックされたすべての試行を記録するとは考えないでください。

ポリシーのレビューに必要な情報 (関連する Web サイトの訪問、ブラウザー アプリケーションの使用、タイムスタンプ、ツールで利用可能なデバイスまたはユーザー コンテキスト) を記録します。必要に応じて、適切なブラウザまたはセキュリティ ログからのダウンロード イベントを追加し、スクリーンショットまたは画面録画は、定義されたレビュー目的にのみ使用します。サポートされているレポート フィルターを使用して、デバイス、ユーザー、アプリケーション、または期間に焦点を当てます。どちらかに依存する前に、カテゴリ分類とイベント カバレッジを確認してください。

Net Monitor for Employees Pro の アクティビティ レポート ヘルプ では、そのレポート ビューについて説明しています。 Web サイトとアプリケーションの時間は、チェックする価値のあるパターンを浮き彫りにする可能性がありますが、開いているタブやサイト名は、注意、意図、またはデータ転送を証明するものではありません。インシデントの場合は、ソース、タイムスタンプ、デバイス、レビュー担当者、関連するサポートまたはインシデント チケットを含む関連レコードを保存します。

保持は重要です。再発する問題を調査し、懲戒決定をサポートし、内部のセキュリティレビューに対応するのに十分な期間、記録を保管します。同時に、明示された目的なしにデータを収集または保持しないでください。ストレージ要件は、業界、リスク レベル、会社のポリシーによって異なります。監視記録へのアクセスを制限し、変更から保護し、誰がレビューを承認できるかを定義します。

検証済みのイベントにエスカレーションが必要な場合は、証拠文書の例を使用してください。このブラウザのレビューでは、効果的な設定とその範囲に焦点を当ててください。事件プロセスは、帰属、説明、所見を所有します。

マネージャーと IT 部門に明確な応答ワークフローを提供する

インシデントが発生した後だけではなく、ブラウザー ポリシーの結果を定期的に確認してください。記録が入手可能な場合は、繰り返しブロックされたリクエスト、新しい未承認の Web ツール、異常なダウンロード パターン、繰り返し発生する非ビジネス アクティビティを探します。これらのパターンにより、トレーニングの問題、承認されたツールの不足、チームの過負荷、または誤用が特定される可能性があります。どの説明が適切かを判断する前に、コンテキストを確認してください。

07展開前に実際の PC でブラウザ ポリシーを確認する

ポリシーをロールアウトする前に、標準の従業員アカウントからテストしてください。拡張機能のインストール、未承認のブラウザのダウンロード、プライベート ブラウジングの使用、個人用クラウド ストレージへのアクセス、プロキシ設定の変更、社外からの接続などを試してください。ブラウザーの更新後、および最近企業ネットワークに接続していないデバイスにルールが引き続き適用されていることを確認します。

管理コンソールがポリシーを展開済みとして報告するため、ポリシーが機能していると想定しないでください。実際のエンドポイントで結果を確認します。最初に小さな部門でポリシーを試験的に導入し、正当なワークフローの問題を修正してから、それを組織全体に拡大します。

最初に有効なブラウザポリシーを確認してください

ターゲット PC の Chrome で chrome://policy を開くか、Edge で edge://policy を開きます。ポリシー名、値、範囲、およびエラーを確認します。関連する設定で必要な場合は、ポリシーをリロードし、ブラウザを再起動します。 Google の Chrome 設定の確認手順では、ポリシーのステータスと値の確認について説明しています。 Microsoft の Edge 導入ガイド にも、デバイス上の有効な設定の確認について説明されています。

施行および例外チェックリストを実行する

• 承認された作業: 認証やファイル アクセスを含む、通常のクライアントまたはサプライヤーのワークフローを完了します。
• 制限されたアクション: 選択した Web サイト、拡張機能、またはダウンロードが意図したとおりに制限されていることを確認します。
• その他のブラウザ コンテキスト: 承認されたすべてのブラウザ、関連するプロファイル、ゲスト モードまたはプライベート モード、および許可されたアカウント タイプをテストします。
• 再起動とリモート使用: ブラウザと PC を再起動した後、オフィス外の承認された接続から再テストします。
• 例外とロールバック: 文書化されたテスト例外を許可し、それを削除して、ベースラインが復元されたことを確認します。
• 証拠: どのポリシー状態、イベント、またはアクティビティ レコードが実際に存在するかを確認します。不足しているカバレッジを想定するのではなく、記録します。

実際的な目標は単純です。従業員は仕事をするために必要な Web アクセスを持ち、同時に会社は悪用を防ぐために必要な権限、可視性、証拠を保持する必要があります。最もリスクの高いブラウザーの動作から始めて、それらを一貫して適用し、推測ではなく実際のアクティビティに基づいてルールを改良します。

08ブラウザ ポリシーの適用: よくある質問

ブラウザー ポリシーと Web サイトのブロックの違いは何ですか?

Web サイトのブロックにより、選択した宛先へのアクセスが制御されます。ブラウザ ポリシーには、拡張機能のインストール、プロファイル、ダウンロード、アップデート、セキュリティ設定などの設定も含まれます。便利なロールアウトでは、これらの設定をエンドポイント コントロールおよび文書化されたレビュー プロセスと組み合わせます。

従業員が在宅勤務している場合、ブラウザー ポリシーを適用できますか?

選択したブラウザまたはデバイス管理方法が、必要なリモート展開と強制をサポートしている場合は可能です。ポリシーの更新や再接続の動作など、オフィスから離れた場所で実際のラップトップをテストします。オフィスのファイアウォールによってのみ適用されるルールは、別のネットワークを自動的にカバーしません。

管理対象としてマークされた設定を従業員が変更できるのはなぜですか?

必須ではなく推奨であるかどうか、現在のプロファイルまたはユーザーに適用されるかどうか、別のポリシー ソースが有効な値を提供しているかどうかを確認します。ブラウザのポリシー ページを調べて、特定の設定をテストします。一般的なマネージド ブラウザのラベルは、すべての設定がロックされていることを証明するものではありません。

クラウド ストレージ Web サイトをブロックすると、すべてのデータ漏洩が防止されますか?

いいえ。1 つのルートに制限されます。他のアカウント、承認されたサービス、デスクトップ アプリケーション、およびリムーバブル ストレージでは、引き続きデータの移動が許可される可能性があります。機密情報に対して適切な ID、アクセス、およびデータ保護制御を使用し、各層の範囲を確認します。

Net Monitor for Employees Pro はブラウザ管理を置き換えることができますか?

ヘルプに記載されている Web サイト、アプリケーション、画面監視、およびレポート機能に使用します。ブラウザーでサポートされているエンタープライズ コントロールまたはデバイス管理プラットフォームを通じて、拡張ポリシーやプロファイル構成などのブラウザー ネイティブ設定を管理します。小規模な認定パイロットで両方の部分を一緒に評価します。