人事システムを運用する企業が、社内向け Web アプリに IAP for web applications を有効にした。ところがセキュリティ診断で、攻撃者がバックエンドへ直接アクセスすれば IAP を迂回できるのではないかと指摘された。バックエンド側で取るべき対策として、最も適切なものはどれか。