Flo、1Passwordのコマンドラインツールでパスワードの受け渡しを自動化し作業を数週間から数時間に

初潮から出産、更年期まで女性の生涯を支えるAI搭載のヘルスケアアプリを提供するFloは、2019年に1Passwordに切り替え、同年後半には全社員が利用する状態にしました。外部サービスのパスワードをTerraformと1Passwordのコマンドラインツールでクラウド基盤に安全に渡す仕組みを作り、プロジェクトの作業期間を数週間から数時間に短縮しています。同社のアプリは世界で1億6,500万人を超える女性に選ばれており、女性の健康分野でナンバーワンのモバイル製品です。

導入前：セキュリティーの仕組みの大規模な刷新

同社は2015年から、女性が自分の健康と幸福を第一にできるよう支えてきました。アプリは一人ひとりに合った根拠のある健康の情報、女性の要望に応えるツール、同じ立場の利用者や医療の専門家による支えを提供しています。女性の要望に徹底して焦点を当てたことで、ダウンロード数は1億6,000万回を超え、評価は常に4.8を保っています。成長を続けるなかでも、セキュリティーとプライバシーは事業の中心的な柱です。CISOのLeo Cunningham氏は、創業初日から利用者にとって完全に安全な製品を作ることに取り組んできており、1Passwordはその使命を支えていると述べています。

何百万人もの女性に安全で信頼できる場を提供するため、同社は2020年にセキュリティーの仕組みの大規模な刷新に着手しました。この取り組みを成功させるには、外部サービスのパスワードをクラウド事業者のAmazon Web Services（AWS）へ安全に渡す方法が必要でした。

選定：技術者でなくても使いこなせること

2019年に1Passwordへ切り替えるうえで重要だったのは、全員が使え、使いたいと思えるパスワードマネージャーであることでした。インフラストラクチャー主任のDmitry Yackevich氏は、競合製品と比べて1Passwordの画面の簡潔さとすっきりしたデザインが際立っており、何より技術の専門家でなくても誰でも簡単に使いこなせると分かったと話しています。

導入効果：自動化と全社での利用

プロジェクトの作業を数週間から数時間に

同社はまず、外部サービスのパスワードを全て1Passwordに保管し、専用のTerraformのスクリプトで社内のインフラストラクチャーに安全に書き出しています。データベースのパスワードなど社内で生成したデータは、AWS Parameter Storeに保管しています。Terraformと1Passwordのコマンドラインツールで自動化したことで、クラウドエンジニアがパスワードに手作業でアクセスして取り込む必要がなくなりました。同氏は、コマンドラインツールを安全な接点として使い、特定のフォルダーのデータをAWSに直接移せるため、データを暗号化したままエンドツーエンドで守れると説明しています。以前であれば、関係するパスワードを全て書き出したチケットを作り、何人もがそのチケットを見る必要がありましたが、今は人の手を介さずに速く安全に処理できます。自動化によって、プロジェクトの作業期間は数週間から数時間に短くなりました。

利用率100%で全ての入り口を守る

同社は最初に、少数の管理者と技術のリーダーに1Passwordをロールアウトしました。2019年の後半には、社内の全員が1Passwordを使うようになっています。同氏によると、安全性の低い方法でパスワードを共有するのではなく、必要な人にだけ保管庫へのアクセスを与えられるようになりました。全社員がクリック1つで全てのアカウントの強力で固有のパスワードを生成でき、生産性を損なわずに安全に働けます。

プライバシーとセキュリティーの原則を守りながら速く動く

成長に伴い、同社は顧客が期待する品質と体験を届けるため、速く動く必要があります。一方で、手間のかかるセキュリティーの手順とプライバシーへの徹底したこだわりは、速さを妨げかねません。Cunningham氏は、設計段階から安全にするという考え方を機能させるには手間がかかると述べています。新しいセキュリティーの手順は、複雑な手続き、膨大な文書、定着への苦労を伴いがちで、時間がかかります。同氏は、1Passwordが複雑な手続きを簡単にし、実務に円滑に組み込むことで、同社のセキュリティーとプライバシーの原則を守る助けになっていると評価しています。社員はウェブサイトのアドレス、ログイン情報、パスワードに1カ所でアクセスでき、ワンタイムパスワードも生成できるため、2要素認証と強力なパスワードであらゆるツールやサービスに素早く簡単にアクセスできます。

この導入事例からの学び

同社は、全社員のパスワード管理とインフラストラクチャーのシークレットの受け渡しを、同じ1Passwordで扱っています。機微な個人データを扱う組織が確認すべきは2点です。1つは、外部サービスのパスワードを人の手を介さずにクラウド基盤へ渡せるかどうかという点です。同社では、以前は関係するパスワードを書き出したチケットを何人もが見る必要がありました。もう1つは、技術者以外も含めた全員が使える製品かどうかです。同社は管理者と技術のリーダーから始め、同じ年のうちに全社に広げています。

出典：1Password