EverC、1Passwordでデータベースのアクセス管理を週10時間以上削減

EverCは、Amazon RDS上の機密データベースへのアクセスを1Password Privileged Access（旧Apono）のジャストインタイムのアクセスに切り替え、アクセス管理にかかるチームの時間を週10時間以上削減しました。同社は、銀行、決済事業者、ECプラットフォーム、マーケットプレースなど規制の厳しい業界の顧客に向けて、加盟店のリスクに関するインテリジェンスを提供するSaaSプラットフォームを運営し、顧客の評判と収益を守っています。

導入前：手作業では追いつかない権限の付与

顧客は機密性の高いECのデータを同社に預けているため、Amazon RDS上のデータベースの安全確保は同社の最優先事項です。ITとセキュリティーのディレクターであるGal Bayer氏は、顧客自身のセキュリティーへの要求が厳しく、安全であることが商談の獲得と取引の継続につながると述べています。

一方で、急速に人員が増えるプラットフォームチームに、20の機密データベースへのアクセスを適切なパーミッションのセットで手作業で付与するのは、非常に非効率でした。Bayer氏は、必要十分なアクセスの付与を効率化し、リスクを減らすために1Passwordを採用しました。

選定の判断軸：AWSと短期間で統合できるか

クラウドインフラストラクチャー責任者のTomer Cohen氏は、ジャストインタイム（JIT）のアクセスを付与する製品の決め手として、Amazon RDS上のMySQLデータベースと短期間で容易に統合できること、データベース内の権限を細かく管理できること、IDプロバイダーのJumpCloudに対応していることを挙げています。

Cohen氏によると、1Passwordはクラウドネイティブのツールで、同社のAWS環境と容易に統合できました。AWSのネイティブのタグを使ってリソースを自動で検出できるため、設定が速く漏れなく進み、チームはすぐに使い始められたといいます。

展開の進め方：利用者が慣れてから切り替える

Bayer氏とCohen氏は、RDSへのPrivileged Accessの展開にあたり、アプリケーションのローカルユーザーを持つ利用者からすぐにはアクセスを取り上げませんでした。利用者がJITに慣れて最初の申請を済ませるまでの時間を設け、そのうえでローカルのアクセスを取り消しています。生産性を損なわずに利用者の納得を得たこの導入を足がかりに、最も機密性の高いデータを保管する重要なリソースを含む開発環境にも、JITを短期間で広げました。

運用の工夫：まとめての申請と多段の承認

Access Flowは柔軟に機能していましたが、BIチームからは、多数のデータベースにまたがってスクリプトを実行するため、より広いアクセスが必要だという相談が寄せられました。そこで同社は、複数のリソースへのアクセスを1回の申請で付与できるバンドルを作りました。複数のリソースのポリシーをまとめたAccess Flowのグループで、管理者によるAccess Flowの管理も簡単になります。Bayer氏は、リソースごとに個別に申請する時間が省け、必要なものを一度にそろえられると説明しています。

一方、読み書きのアクセスのように機密性の高い権限には、直属の上司の承認を必須とするAccess Flowのポリシーを設けました。管理者権限の申請には、直属の上司と本番環境の責任者の2つの承認を求める手動のAccess Flowを運用しています。データベースの管理者権限を持つ利用者は、自分の業務と関係のない他のジョブを誤って、あるいは意図的に止められてしまうためです。Bayer氏は、起こりうる被害は大きいものの、本人の上司だけでなく本番環境の責任者も承認に加わることで、多くの事故を未然に防いできたと述べています。

数字で見た導入効果

アクセス管理の工数を週10時間以上削減

Cohen氏によると、Privileged Accessへの移行によって、データベースの入社・異動・退社に伴うアクセス管理にかかるチームの時間は、週に少なくとも10時間削減されました。アクセスに費やしていた時間がなくなったことで25%の削減となり、チームは生産的な業務により多くの時間を使えるようになっています。

利用者は24時間365日、安全にアクセス

エンドユーザーも恩恵を受けています。多くのリソースで自動承認のAccess Flowを使い、24時間365日いつでも安全にアクセスできるようになりました。Bayer氏は、利用者の負担を増やすことなく、セキュリティーを高めながらプロセスを集約し最適化できたと評価しています。

監査への対応を効率化

アクセス管理をPrivileged Accessに集約したことで、全てのアクセスの申請と利用が細かく監査されるようになりました。コンプライアンスチームへの報告が簡単になり、ISO 27001やSOC 2などの規制に基づく監査や、顧客による監査への対応も効率化されています。Cohen氏は、開発チームから見た使い勝手が大きく向上し、自身にとってもコンプライアンスの徹底がずっと容易になったと述べています。

この導入事例からの学び

同社の事例から読み取れるのは、JITへの移行を利用者の慣れに合わせて段階的に進めた点です。ローカルのアクセスを残したまま最初の申請を経験してもらい、そのうえで取り消すという順序が、生産性を落とさずに利用者の納得を得ることにつながっています。

また、全てのアクセスに同じ手続きを課していない点も参考になります。多数のリソースを扱うBIチームにはバンドルで申請の手間を減らし、管理者権限には2つの承認を求めるというように、権限のリスクに応じて手続きの重さを変えています。

Bayer氏は次の段階として、同じ規律をKubernetesのクラスターにも広げ、そこでのアクセスを全て適切な範囲に収めて管理下に置く考えです。

出典：1Password