DigitalOcean、1Passwordでリスクの高いアプリの100%を信頼済みの端末に限定

AIネイティブなクラウドを提供する米国のテクノロジー企業DigitalOceanは、1Password Enterprise Password ManagerとDevice Trustを導入し、リスクの高いアプリケーションの100%を、信頼済みの端末からしかアクセスできない状態にしました。入社時と退職時の手順の自動化で社員1人あたり最大10分を削減し、3年かけて1Passwordの利用率を100%まで高めています。同社はもともと仮想プライベートサーバー（VPS）の事業者として創業し、現在はGPUのインフラストラクチャーから推論、マネージドのエージェントまで、本番環境のAIに必要な一式を提供しています。大手クラウドの複雑さを避け、クラウドとAIを簡素にすることで、開発者が世界を変えるソフトウェアづくりにより多くの時間を使えるようにすることを使命としています。

導入前：分散した働き方と既存ツールの限界

AIネイティブなクラウド基盤と世界規模の人員の拡大に伴い、同社にはアプリケーション、AIツール、端末、クレデンシャル、マシンのアイデンティティーを横断して可視化し、制御する仕組みが必要になりました。既存のパスワード管理ツールでは、分散した現在の環境に求めるガバナンスの水準を満たせなくなっていたのです。

ハイブリッドで世界に分散した働き方のため、社員の端末を把握しきれず、管理外の端末が重要なインフラストラクチャーにアクセスすることが懸念されていました。クレデンシャルの窃取や不正なアカウントへのアクセスにつながるフィッシング攻撃も大きな懸念でした。以前のツールは共有リソースに多要素認証を設定できず、特定の保管庫やパスワードへのアクセスを細かく管理することもできませんでした。機密性の高いSaaSアプリへのアクセスを守るため、端末の健全性を細かくカスタマイズしてチェックする仕組みも求めていました。さらに、社員がAIのツールや自動化のワークフローを使い始めるなか、AIアプリケーションの使われ方を把握し、人とソフトウェアの双方のアクセスを統制する道筋が必要になっていました。

選定：アイデンティティーを軸にしたセキュリティー基盤

セキュリティーディレクターのHeather Cannon氏は製品の機能と自社への適合性を調べ、1Passwordを選びました。セキュリティーチームとIT部門は、Enterprise Password ManagerとDevice Trustを導入し、アイデンティティーに基づく制御をセキュリティーの設計の中心に据えています。SSOの範囲を越えてアカウントを一元的に把握でき、チームをまたいで一貫したポリシーを適用できることから、より予防的なアイデンティティーのガバナンスへ移行する手段と位置付けました。

社内の意思決定者のなかに1Passwordを使った経験があり、信頼していた人がいたため、ほかのベンダーからの切り替えは容易な判断でした。最初に1,000名を移行し、3年かけて利用率を100%、1,600ライセンスまで広げています。同氏は、特にハイブリッドな働き方の環境でセキュリティーポスチャーをさらに強化する必要があり、Enterprise Password ManagerとDevice Trustがそれを実現したと述べています。

数字で見た導入効果

リスクの高いアプリの100%を信頼済みの端末に限定

Device Trustは、管理外の端末や業務委託先の端末、Linuxの端末を含め、あらゆる端末からの重要なアプリやデータへのアクセスを統制します。管理者は端末の状態を幅広くチェックでき、独自のチェックを書いてさまざまなポリシーを適用することもできます。これにより、保護されたアプリにつなぐ端末が既知で信頼でき、ディスクの暗号化や適切なOSのバージョンといった基本的な要件を満たしていることを確かめられます。現在、同社の事業上重要なアプリケーションは、Device Trustのチェックで守られています。同氏は、継続的な可視化によって、既知の多くの脆弱性にさらされる範囲を大きく減らせたと述べています。

Device Trustは同社のMDMと連動して動き、MDMが正しく設定・稼働していることを確かめ、信頼できない端末を重要なシステムから遮断します。問題があれば社員に自分で直すための手順が示されるため、IT部門にチケットを出さなくても遮断を解除できます。MDMのないLinuxのワークステーションでも、暗号化などの基本的な保護を適用し、セキュリティーの空白を埋めています。業務の流れを妨げずに背後で静かに動く点も、同氏が評価する点です。

入社時と退職時の手順を自動化し、1人あたり最大10分を削減

同社は、Device TrustとOktaを、1Password Hosted SCIMでつないでいます。自社のインフラストラクチャーで何も維持する必要がなく、アカウントのプロビジョニングとデプロビジョニング、1Passwordのグループと保管庫のアクセスを管理するグループの同期、氏名やメールアドレスなどの属性の同期を自動化しています。従来のSCIM Bridgeと異なり、全てが1Passwordのインフラストラクチャー上で動き、対応するIDプロバイダーに直接つながります。社内の見積もりでは、セキュリティーチームとIT部門は入社時と退職時の手順の自動化で、社員1人あたり最大10分を節約しています。

クレデンシャルの共有をプログラムで制御

Enterprise Password Managerによって、チームをまたぐクレデンシャルの共有を一元的に管理できるようになりました。機密性の高いアクセスは、所有者が明確でパーミッションが適用され、IT部門とセキュリティーチームから全てが見える共有保管庫に移しています。その結果、クレデンシャルの散在が減り、パスキーや2要素認証などの強力な認証が組織全体の標準になりました。

1Password CLIは、シークレットをプログラムで管理し、大規模なサービスアカウントを移行する場面でも役立っています。同氏のセキュリティーチームは、分散構成の社内MySQLデータベースのサービスアカウントを移行する必要があった際、1Password CLIを使って最小限の手作業で各エンジニアリングチームと共有できました。同氏は、以前のパスワード管理ツールではできなかったことで、大きな成果だったと述べています。

今後：人とAIエージェントのアクセスを統制

同社は、企業が本番環境でエージェントを動かすための基盤を提供しており、人と並んで動くソフトウェアのアクセスを統制することを最優先の課題としています。同氏は、AIと自動化が脅威の状況を一変させたと指摘します。リスクは人のミスだけでなく、自動化されたソフトウェアがインフラストラクチャーやAPIとどう関わるかにあり、アイデンティティーのガバナンスは従来のサインイン画面を越えて、クレデンシャルが大規模に使われる場所に組み込まれる必要があるという考えです。同社は1Password Unified Accessのベータ版に早くから参加しており、AIアプリケーション、クレデンシャル、端末、エージェント型のワークフローを横断した可視化とガバナンスの強化を検討しています。同氏は、Unified AccessによってAIの利用を把握・統制し、シャドーAIのリスクを減らし、AIを責任ある形で導入するための管理を整えられると説明しています。

この導入事例からの学び

同社はパスワード管理、端末のチェック、プロビジョニングの自動化を順に重ね、AIエージェントのアクセスまで見据えた基盤を作りました。分散した働き方の組織が確認すべきは2点です。1つは、MDMで管理できない端末まで同じ基準でチェックできるかどうかという点です。同社では、MDMのないLinuxのワークステーションにも暗号化などの基本的な保護を適用しています。もう1つは、遮断された社員が自分で問題を直せるかどうかです。この仕組みがなければ、端末のチェックを厳しくするほどIT部門へのチケットが増えることになります。

出典：1Password