ChartHop、創業初期からの1Passwordの導入で悪い習慣が根付く前にセキュリティーの文化を構築

組織が人材を管理・支援しやすくするピープルアナリティクスのプラットフォームを提供するChartHopは、創業の初期から1Passwordを導入し、悪い習慣が根付く前にセキュリティーの文化を作りました。社員は強力なパスワードを簡単に作って使え、SSOでカバーできないアカウントも守られています。パスワードやAPIキーなどの機密情報も安全に共有できるようになりました。同社は2019年に創業し、ばらばらだった人材のデータを社員を中心にした1つのプラットフォームに集約して、情報に基づき力を発揮できる、つながった組織づくりを支えています。

導入前：創業の初期に下した判断

セキュリティーエンジニアリング担当シニアマネージャーのWitt Cunningham氏は、同社の成功を支えた要因の1つとして、早い段階で1Passwordを導入した判断を挙げています。同氏によると、1Passwordは同社のごく初期から使われていました。同氏は以前、別のパスワードマネージャーを使う会社で働いていましたが、直感的な設計で全社にロールアウトしやすい1Passwordの方を好んでいます。違いは大きく、使いやすさと、さまざまな関係者の賛同を得やすい点で、導入は自然に進んだといいます。

選定：IT部門に頼らず使いこなせる設計

分かりにくいアプリは使われません。同氏は、人を中心に考えた1Passwordの設計は、ほかの企業向けパスワードマネージャーと比べて習得しやすいと説明しています。全てが非常に分かりやすく、新しい利用者でもIT部門の支援を求めずに自力で使いこなせるほど直感的な画面だという評価です。ブラウザー拡張機能、デスクトップアプリ、モバイルアプリの間で円滑に連動するため、社員はどの端末でも必要な瞬間に業務のパスワードにアクセスでき、クレデンシャルを使えるという安心感を持てます。

導入効果：強力なパスワード、SSOの補完、習慣の改善

IT部門の支援なしで強力なパスワードを使う

その結果、社員は1Passwordを素早く覚え、IT部門の支援をほとんど受けずに強力なパスワードを使えるようになりました。複雑なパスワードを覚える負担がなくなり、事業に本当に効く課題に使える時間が増えています。同氏によると、社員が1Passwordのアカウントを設定した後に、ツールの使い方を尋ねるIT部門への依頼やヘルプチケットは通常ありません。

SSOでカバーできないアカウントを守る

同社はシングルサインオン（SSO）のOktaで多くの企業向けアプリへのアクセスを保護・管理しています。しかし、Oktaが対応していないサービスや、統合するには費用が高すぎるサービスもあります。後者はいわゆる「SSO税」と呼ばれる傾向です。1Passwordを使えば、SSOでカバーできないサービスのアカウントも全て守れます。同氏は、1PasswordがSSOとSAMLでは補えない残りの半分を担っていると述べています。1Passwordは2要素認証の認証アプリとしても使え、社員は業務のアカウントにもう一段の保護を加えられます。同氏が最も気に入っている機能は、ワンタイムパスワードや時間ベースのワンタイムパスワードの認証をクレデンシャルに組み込めることです。

Slackで平文のパスワードを送る習慣が生まれなかった

1PasswordはIT部門やセキュリティーチームだけでなく全部門で使われており、役割や技術の知識にかかわらず全社員が強力なパスワードを使えるようにしています。その効果の1つが、社内の主なコミュニケーションの手段であるSlackで、平文のパスワードを共有する人がいないことです。同氏は、社内のセキュリティー意識が大きく高まり、非常に早い段階から1Passwordを使っていたため、Slackで平文のパスワードを送るというよくある問題は一度も起きていないと述べています。パートナーや顧客のポータルのログインが1つだけ渡され、複数の人がアクセスする必要がある場面もあります。同氏は、共有アカウントはできれば使いたくないが、使わざるを得ないときには1Passwordで安全に扱えると話しています。

開発者のシークレットも安全に共有

1Passwordには、パスワードのほか、書類、住所、クレジットカード番号、ソフトウェアのライセンスキーなど、事業にとって重要なものを保管できます。同社は、APIキーをはじめとする開発者のシークレットも1Passwordで保管・共有しています。同氏は、1Passwordは開発者を重視しており、エンジニアの多い同社に合っていると評価しています。

この導入事例からの学び

同社は創業の初期にパスワードマネージャーを導入したことで、平文のパスワードをSlackで送るような悪い習慣が根付く前に、セキュリティーの文化を作りました。同氏は、早い段階での導入が、日々の業務の効率を落とさずによいセキュリティーの習慣を身に付けさせる重要な判断だったと振り返っています。創業間もない組織が確認すべきは2点です。1つは、IT部門の支援なしで社員が使いこなせるほど簡単かどうかという点です。同社では、設定後に使い方を尋ねる問い合わせが通常ありません。もう1つは、SSOでカバーできないサービスのアカウントを同じ仕組みで守れるかどうかです。同社の場合、対応していないサービスや費用の高いサービスを1Passwordで補っています。

出典：1Password