FranklinCovey、1Passwordでパスワードマネージャーの利用率100%を達成

FranklinCoveyは、1Password Unified Accessを導入し、約1,300名のリモートファーストの社員が使うパスワードマネージャーについて、60%で止まっていた登録率を利用率100%に引き上げました。Device TrustとSaaS Managerも組み合わせ、アイデンティティー、端末、アプリケーションを1つのプラットフォームで管理しています。同社はユタ州ソルトレークシティーに本社を置くリーダーシップ開発の企業で、コンサルティング、研修、コーチング、組織の効果を高めるソリューションを通じて、160を超える国の組織の業績向上を支援しています。

導入前：ばらばらのパスワード管理と情報窃取

同社の社員は世界各地で働き、どこからでも数百の業務アプリケーションに確実にアクセスできる必要があります。働く場所の柔軟さは生産性を高める一方、アイデンティティー、クレデンシャル、端末、SaaSアプリケーションを守る難しさも増していました。

長年、組織全体で一貫したパスワード管理の方法がありませんでした。IT部門と開発者は従来の企業向けパスワードマネージャーを使い、他の社員は仕事のクレデンシャルをブラウザーの内蔵パスワードマネージャーや個人のパスワードマネージャーに保存していました。そのためパスワードの健全性が見えず、強度の低いクレデンシャルや侵害されたクレデンシャルを見つけて直すことも難しく、多くの社員が組織のセキュリティーの管理から外れていました。

約1,300名の社員を少人数のセキュリティーチームで支えるなかで、パスワードマネージャーの利用を手作業で促し、一貫したセキュリティーの運用を徹底するのは限界でした。全社の登録率は60%で止まり、残りを埋めるには社員への手作業の働きかけが数カ月必要な見込みでした。

事態が切迫したのは、ある社員の私物の端末が情報窃取型のマルウェアに感染し、ブラウザーの内蔵パスワードマネージャーに保存していた仕事のクレデンシャルが漏洩したときです。同じ時期に、私物の端末や、承認されていないSaaSとAIのアプリケーションの利用も増えていましたが、その使われ方を一元的に統制する手段はありませんでした。

同社に必要だったのは、承認されていないSaaSの利用を洗い出し、危険なクレデンシャルを特定し、社員が実際に使う企業向けパスワードマネージャーを展開する手段です。社員が安全で信頼できる端末から会社のリソースにアクセスしていることも確認する必要がありました。そして何より、少人数のセキュリティーチームが手作業の働きかけを最小限にして展開できるものでなければなりませんでした。

選定の判断軸：アイデンティティー、端末、アプリを1つに

同社は、ばらばらのセキュリティーツールを、アイデンティティー、Device Trust、SaaSのガバナンスを組み合わせたプラットフォームに置き換えるため、1Password Unified Accessを選びました。セキュリティーチームは業務のリソースをよりよく守りながら、社員には必要なアプリケーションへのシンプルで安全なアクセスを提供できます。

グローバルCIOのBlaine Carter氏は、同社のセキュリティーの考え方を、アイデンティティー、信頼できる端末、アプリケーションをそろえた3本脚の椅子にたとえています。1Passwordによって、その3つをはるかにシンプルに管理できるようになったと述べています。

導入の内容：製品ごとの役割

Enterprise Password ManagerとOktaの統合

同社は1Password Enterprise Password ManagerをOktaと統合し、ユーザーのプロビジョニングと認証を効率化しました。この統合で展開が簡単になり、社員は使い慣れたSSOのクレデンシャルで1Passwordのロックを解除できます。さらにDevice Trustの自動チェックと2カ月の猶予期間を組み合わせたことで、数カ月に及ぶ手作業の働きかけなしに、登録率60%から利用率100%へと進みました。1PasswordのSecret Keyの仕組みは、従来のパスワードマネージャーにはない保護の層を加え、利用者のパスワードが侵害された場合でもクレデンシャルを守る助けになります。

Device Trustによる端末の確認

1Password Device Trustは、社員が業務で使う端末にも重要な保護を広げます。同社は重要なアプリケーションへのアクセスを許可する前に、社員がセキュリティーの要件を満たす既知の健全な端末を使っているかを確認できます。Device Trustは、社員がブラウザー拡張機能をインストールしたかを確認することで、パスワードマネージャーの利用の拡大にも役立ちました。現在は端末の89%が、同社のセキュリティーポスチャーの要件を満たしています。

SaaS Managerによるアプリの可視化

SaaS Managerは、承認されていないSaaSやAIのツールを含め、社員が使っているアプリケーションを可視化します。セキュリティーチームは新しいアプリケーションを見つけると、SSOで守るか、1Passwordで管理する強固なクレデンシャルで守るかを判断できます。

同社はこの情報を、ソフトウェアの利用の最適化にも生かしています。例えば、利用の少ないZoomのライセンスを特定してZoomの管理者に知らせるワークフローを作りました。管理者は通知から直接、ライセンスを取り消すか残すかを選べます。このワークフローで、これまでに36件のZoomのライセンスを回収しました。見直したライセンスの11%にあたり、年間約6,120ドルの節約になります。

数字で見た導入効果

パスワードマネージャーの利用率100%

パスワードマネージャーの利用率はすぐに100%に達し、以前の製品と比べて40%の増加となりました。時間のかかる手作業の催促を何カ月も続ける必要がなくなっています。

600を超えるシャドーITとAIのアプリを発見

SaaS Managerによって、セキュリティーチームは、社員がAIツールを含む承認されていないアプリケーションを使っていることや、その利用がブラウザー経由かデスクトップアプリ経由かを把握できます。既存の管理が行き届いていない箇所を特定し、承認済みのツールへ社員を誘導できるため、セキュリティーポリシーが意図通りに機能していることへの確信が高まりました。これまでに1Passwordで発見したシャドーITとAIのアプリは600を超えます。社員は必要なアプリケーションに滞りなく安全にアクセスでき、IT部門はポリシーが一貫して適用されていると確信できるようになっています。

手作業のサポートを371時間超削減

1Password Watchtowerによって、セキュリティーチームは組織全体のパスワードの健全性を一元的に把握し、強度の低いクレデンシャル、使い回しのクレデンシャル、侵害されたクレデンシャルを見つけて対処できます。管理作業の効率化で、手作業のサポートは371時間を超えて削減されました。その分の時間を、セキュリティーポスチャーの他の領域の強化に充てられます。

多層防御が実際の攻撃を止めた

攻撃者が社員になりすまし、外部のヘルプデスクを説得してその社員のパスワードをリセットさせた事例があります。攻撃者は新しい端末を登録し、ヘルプデスクも当初はそれを承認しました。しかしDevice Trustがもう1つの防御の層として働き、その端末が同社のセキュリティーチェックの1つを通過できなかったため、攻撃はそれ以上進みませんでした。この件は多層防御の価値を実地で示すものとなり、同社は新しい端末を承認する手順を強化しています。

セキュリティーエンジニアのRyan Berckmoes氏は、1Passwordによって、複数の層が連携してユーザーと事業を守る多層防御が実現したと述べています。

この導入事例からの学び

同社の事例から読み取れるのは、利用率の向上を社員への催促ではなく仕組みで進めた点です。60%で止まっていた登録率は、SSOによるロック解除、Device Trustの自動チェック、2カ月の猶予期間の組み合わせで、利用率100%に達しています。少人数のセキュリティーチームにとって、手作業の働きかけに頼らない展開の方法として参考になります。

もう1つは、パスワード、端末、アプリケーションの管理をまとめた効果です。ヘルプデスクが攻撃者の端末の登録を承認してしまった場面でも、Device Trustのチェックが攻撃を止めました。1つの手順が破られても別の層で止まるという多層防御の考え方が、実際の出来事で裏づけられています。

同社は今後、AIの業務利用が広がるなかで、これまでに得た可視性をさらに生かす計画です。Device TrustのインサイトとSaaS Managerは、新たなAIの利用や承認されていないツールを見つけ、AIの使い方に関するガードレールを強化する助けになるとしています。Berckmoes氏は、セキュリティーも脅威も変わり続けるなかで、1Passwordが変化に適応し先手を打つための基盤になっていると述べています。

出典：1Password