Asana、1Passwordを1日でロールアウトし許可されていないアクセスの試みを全て遮断

人とAIが協働して成果を出すための仕事の基盤を提供するAsanaは、2019年から使っている1Password Enterprise Password Managerに2024年に1Password Device Trustを加え、ゼロトラストへの第一歩として端末の検証を全社に適用しました。1Passwordのロールアウトは1日で完了し、全社員が既知の安全な端末を使い、許可されていないアクセスの試みは全て遮断されています。同社はWork Graph®を土台に、AIが実際のワークフローの中で動くための文脈とガバナンスを提供し、18万を超える組織を支えています。

導入前：ゼロトラストへの現実的な入り口が必要だった

世界で1,700名が働く同社には、クレデンシャルを安全に管理・共有しつつ、機密性の高いシステムへのアクセスを許可された適合端末からに限る仕組みが必要でした。分散したチーム全体でクレデンシャルを守り共有する場所が1つ求められていたほか、利用規定（AUP）が守られているかを確かめ、社員が許可された端末からだけシステムにアクセスしていることを担保する方法もありませんでした。FedRAMPや大企業の顧客からの要求といったコンプライアンスへの期待が高まり、検証可能な端末とアイデンティティーの管理が求められていました。さらに、大規模で複雑なツールで業務を乱すことなく、ゼロトラストに踏み出せる現実的な入り口が必要でした。

選定：まず端末から、業務を乱さずに

IT・ITセキュリティーのグローバル責任者のJohan Dowdy氏は、より強固なセキュリティーポスチャーに向けてゼロトラストのネットワーク構成を目指しています。ただしゼロトラストの取り組みは、費用がかかり、複雑で、業務を乱す数年がかりの事業になりかねません。そこで同氏は段階的な進め方をとり、最も重要と考える端末、特に社員が使う端末の保護から着手しました。エンドポイントが安全であり、社員が信頼できる端末からだけサインインしていると確信できる必要があった、と同氏は話しています。

1Passwordを選んだ理由は2つあります。1つは、Enterprise Password Managerが既に社内で信頼され、広く使われていたことです。もう1つは、Device Trustがほかの製品よりはるかに簡単かつ効果的に、信頼できないアクセスを遮断できたことです。同社がアイデンティティーとアクセス管理（IAM）の基盤に選んでいるOktaとも円滑に統合できました。同氏が最も重視したのは、社員の体験に影響せず、ヘルプデスクの負担が極めて小さいことです。端末や操作がポリシーに適合しない場合は、アクセスが制限されていることが利用者に明確に示されます。1Passwordによる手厚い導入支援とカスタマーサクセスの支援も、素早いデプロイと円滑なロールアウトを後押ししました。

数字で見た導入効果

許可されていないアクセスの試みを全て遮断

Device TrustはOktaと連動し、機密性の高いアプリケーションへのアクセスを許す前に端末を検証します。チェックによって、利用者が管理された安全で信頼できる業務用のノートPCを使っていることを確かめるもので、ゼロトラストの中心的な原則を満たします。端末の確認が終わると、社員は通常のSSOとOktaの流れに進み、Enterprise Password Managerのロックが解除されるか、SSOで守られたアプリにアクセスできます。同氏は、この手順が終われば社員は何もしなくてよく、Oktaで認証するたびに画面が一瞬表示されるだけだと説明しています。

Device Trustの全面的な導入により、同社は端末のセキュリティーの管理がほとんどない環境から、全社員への完全な適用へと移りました。利用者の行動や端末のアクセスの傾向を把握でき、全ての認証が承認された適合端末から行われていることを担保できます。その結果、端末からのサインインの大部分が保護され、全ての利用者が既知の適合端末を使い、許可されていないアクセスの試みは全て遮断されています。チェックは、MDM、CS Falcon Sensor、macOSとWindowsの更新、FileVaultやディスクの暗号化など多岐にわたります。検証可能な管理を示せるようになったことで、大企業や政府機関の顧客によるセキュリティーの審査でもよい結果につながっています。

1日でロールアウトし、段階的に適用を強化

同社は1Passwordを1日でロールアウトし、その後は事業の必要性と利用者の準備に合わせて、新しいチェックとポリシーを段階的に加えていきました。社員への影響を最小限に抑えながら、ゼロトラストへ大きく前進しています。同氏は、利用規定に頼るだけの状態を越え、利用者が手順を守っていることを実際に検証できるようになったと述べています。数カ月運用しても苦情は出ておらず、ゼロトラストの最初の一手としてDevice Trustから始めるのははるかに負担が軽いという評価です。

クレデンシャルの一元管理と退職時の手順の強化

同社では、Enterprise Password Managerを使ってパスワードのほか、APIキーやサーバー管理のクレデンシャルなどのシークレットを共有しています。本番システムの鍵やサーバーのログイン情報といった重要なアクセス情報が、スプレッドシートのような安全でない形で保存されることはありません。退職時の手順にも自信が持てるようになりました。社員は初日からDevice Trustを使い、雇用が終わるとすぐに個人の端末からのアクセスが取り除かれます。急に退職した社員が会社のクレデンシャルを持ったままでも、信頼できない個人の端末からは会社のリソースにサインインできません。同氏は、生産性を落とすこともエンジニアの反発を招くこともなく、重要なセキュリティーの強化を実現できたと話しています。

この導入事例からの学び

同社はゼロトラストを一度に構築するのではなく、端末の検証を最初の一手に選び、そこから段階的に積み上げています。ゼロトラストに取り組む組織が確認すべきは2点です。1つは、既存のIDプロバイダーの認証の流れに端末の検証を組み込めるかどうかという点です。同社では、社員が意識するのはOktaでの認証時に画面が一瞬表示されることだけでした。もう1つは、チェックを段階的に追加できるかどうかです。最初から全てを適用すると、ヘルプデスクへの問い合わせと社員の反発を招きやすくなります。同社が1日でロールアウトした後に適用を強めていったのは、この点を踏まえた進め方です。

出典：1Password