利用中のデータ（data in use）とは、アプリケーション、システム、ユーザーがいま操作・処理しているデータです。組織にとって、利用中のデータを守るのは難しいことがあります。業務に必要なアプリケーションやユーザーからは使える状態を保ちつつ、不正アクセスや改ざんからは守る必要があるためです。
いま、業務上重要なデータとのやりとりのほとんどは、最新のインターネットブラウザーの中で行われます。メールクライアント、ワープロ、表計算といったクライアントアプリケーション全体を、エンドユーザーへ配信できるからです。デバイスにソフトウェアを入れる必要もなく、コピー＆ペーストや機密データのダウンロードも比較的簡単です。従業員や契約者が毎日、重要または機密のデータを扱う組織では、こうした操作が継続的なリスクになります。
利用中のデータを守る方法の 1 つは、ブラウザーそのものと、従業員がそれを使ってアプリケーションやデータへアクセスする仕方を、より細かく制御することです。Cloudflare は、大規模なグローバルエッジネットワーク上にヘッドレスブラウザーを構築し、これを Remote Browser Isolation（RBI）と呼んでいます。ユーザーが社内ホストのリソースや公開インターネット上のリソースへアクセスしようとすると、追加の保護なしでユーザーのブラウザーへ直接出すのではなく、まず Cloudflare グローバルネットワーク上のサンドボックス環境でそのリソースを描画します。エンドユーザーにはほとんど差が分からないまま、ローカルブラウザー内で小さな JavaScript クライアントが動き、Cloudflare 独自の特許技術である Network Vector Rendering（NVR）を使って、リモートで読み込んだ Web コンテンツを安全に取得・描画します。
Cloudflare RBI は、ユーザーがアクセスしている Web コンテンツとデバイスのあいだに、見えない「すき間」を作ります。これにより、デバイスとその接続先ネットワークを、エクスプロイトや攻撃から守ります。既知の脅威パターンやシグネチャに頼るセキュア Web ゲートウェイ、アンチウイルス、ファイアウォールとは違い、RBI は本物の Zero Trust の仕組みです。リモートで読み込んだ RBI インスタンス内のリクエストはすべて Cloudflare Secure Web Gateway を通るため、データへのアクセスポリシーを適用でき、トラフィック自体を検査して転送中データのポリシーも適用できます。
さらに、ダウンロード / アップロード、コピー＆ペースト、印刷といった、利用中データ向けのアクセス制御も適用できます。
RBI でよく使うポリシーの例:
- コンテンツカテゴリ - Social Networks（例: Facebook）: 人気のソーシャルメディアは大量のデータを集めるため、攻撃者にとって魅力的な侵入口になります。RBI を使うと、とくに DLP プロファイルに一致するデータを、これらのアプリへ貼り付けられないようにできます。
- アプリケーション - Artificial Intelligence（例: ChatGPT）: 生成 AI は生産性を上げられますが、誰が何のために使っているかを把握することが、いまの段階では欠かせません。ここでも DLP プロファイルを使い、機密データを公開 AI ツールへコピー＆ペーストできないようにできます。
- アプリケーション - SaaS（例: Salesforce、Zendesk など）: こうしたアプリには、機密性の高いデータが入っていることがよくあります。RBI を使うと、契約者やパートナーなど、一定のアクセスが必要なリスクの高いユーザー向けに、アクセスを厳しく制限できます。印刷禁止やキーボード入力そのものの禁止といった制御により、第三者がアプリケーションを読み取り専用で見る形にできます。RBI がユーザーとデータのあいだのガラス板のように働くイメージです。
次の図は、ユーザー、RBI、ChatGPT などの Web サイトのあいだの典型的なやりとりを示します。
- ユーザーが ChatGPT へログインしようとし、リクエストは Cloudflare を経由します。エンドユーザーのデバイスと要求先リソースのあいだのトラフィックを、できるだけ見える化し制御するため、デバイスエージェント が動いているためです。Clientless の選択肢も使えます。
- Cloudflare の Secure Web Gateway（SWG）が、まずそのユーザーに ChatGPT へのアクセスが許可されているかを確認します。
- Cloudflare の特許技術 Network Vector Rendering（NVR）が始まります。エッジネットワーク上のヘッドレスブラウザーが起動し、Web アプリをラスタライズして SKIA の描画コマンドを書き出します。
- NVR はそれらの描画コマンドを傍受し、トークン化、圧縮、暗号化してから、ローカルの Web ブラウザーへ送ります。
- このリクエストは隔離された状態で動くため、ポリシーにより、ユーザーがローカルマシンから ChatGPT へ機密コンテンツを コピー＆ペースト できないようにします。「印刷を無効にする」「アップロード / ダウンロードを無効にする」など、ほかの ポリシー設定 も使えます。