Reddit、1Passwordで3,000人のリモートワーカーのセキュリティーを強化し数週間で全社へ

世界最大級のソーシャルネットワークRedditは、一部のエンジニアリングチームしか使っていなかったパスワードマネージャーを1Passwordに切り替え、従業員と業務委託先を合わせて3,000人が働くリモート中心の組織全体にパスワード管理を広げました。Oktaとの統合によって、数週間のうちに従業員の100%へのロールアウトを終えています。入社時と退職時のアクセスの付与と取り消しは簡素化され、ITチームとサポートチームの負担も減りました。同社は10万を超えるアクティブなコミュニティーを抱え、人々が興味や趣味、情熱について深く語り合える場を提供しています。信頼できる情報を見つけ、他者と議論し、自分の意見を形成できる場であり続けることを大切にしています。

導入前：パスワード管理の習慣がばらばらだった

世界中に数百万人の利用者を抱える知名度の高い企業として、同社は巧妙なフィッシング攻撃の標的になってきました。攻撃者の狙いは、従業員をだまして業務のクレデンシャルを聞き出し、社内の文書やコード、システムへのアクセスを得ることです。

同社は以前、別のパスワードマネージャーを使っていましたが、利用していたのは一部のエンジニアリングチームだけでした。ほかの社員の習慣は統一されておらず、ブラウザーのパスワードマネージャーにクレデンシャルを保存する人もいれば、しない人もいました。Slackやメールでパスワードを共有する人も少なくありませんでした。コーポレートテクノロジーシステム・インフラストラクチャーマネージャーのNick Fohs氏は、当時の状況をかなり場当たり的だったと振り返ります。

転機は、以前のパスワードマネージャーでセキュリティー侵害が起きたことでした。同社はパスワード管理を立て直す時期だと判断し、従業員と業務委託先を合わせた3,000人全員が、簡単かつ手軽にベストプラクティスに従える状態を目指しました。求めたのは、攻撃を防ぐために全社へ広くロールアウトでき、全員が強力なパスワードを作り、使い、安全に共有できるようになる使いやすいツールです。

入退社の管理にも課題がありました。1Passwordの導入前は、社員が何にアクセスできるのか、シークレットがどこに保管されているのかの全体像を把握できていませんでした。入社時に必要なクレデンシャルを渡す効率的な方法も、退職時にアクセスを取り消す効率的な方法もなかったのです。同氏によると、退職者が出るたびに、多くのチームで各システムのパスワードをリセットするか、リセットの手続きを起動する必要がありました。退職者がシステムや機密情報にアクセスできない状態を確実にすることは、サポートチームにとって大きな負担でした。さらに同社はほぼリモートで働く企業のため、社員がヘルプデスクに来ることはできず、端末の状態によってはZoomで画面共有することもできないという事情がありました。

選定：技術者以外も簡単に使えること

パスワードマネージャーは、全員が使って初めて最も効果を発揮します。同社が全社的な保護を実現するには、技術者ではない社員でも簡単に使えるツールを選ぶ必要がありました。ツールを渡して支援しない限り、人が自らセキュリティーを高めたり習慣を改めることは期待できない、というのが同氏の考えです。

同社はほかのツールも検討したうえで、サポートのしやすさと使いやすさを決め手に1Passwordを選びました。同氏はこれまで複数の企業で1Passwordのデプロイを成功させており、技術者ではない社員にとっても理解しやすく、使いやすく、日々の業務に組み込みやすい製品であることを自ら知っていました。利用者を中心に据えたセキュリティーを最優先に考えるべきだというのが同氏の立場です。

macOSへの対応も重要な条件でした。同社のデスクトップの95%はMacです。同氏は、macOSやAppleシリコンの新しいバージョンに発売当日から対応できるよう、1Passwordが時間と労力をかけていることを、ソフトウェアの評価で重視しています。

数字で見た導入効果

Oktaとの統合で数週間のうちに従業員の100%へ

同社はシングルサインオン（SSO）にOktaを使っています。1PasswordはOktaとつなげられるため、管理者はプロビジョニングをはじめ、時間のかかる作業を自動化できます。最初のデプロイでは、SCIM Bridgeを通じてOktaのグループのメンバーシップをもとにユーザーを登録し、既存のOktaのグループを1Passwordにそのまま反映させました。社員は適切な1Passwordのグループと共有保管庫に自動で追加され、数週間のうちに従業員の100%へのロールアウトが完了しています。

共有保管庫をOktaのグループで管理

現在、共有保管庫はOktaのグループのメンバーシップで管理されています。Oktaのグループへのアクセスを申請すると、対応する共有保管庫に追加される仕組みです。保管庫の中ではクレデンシャルを共有できないため、シークレットの管理の経路を追える状態が保たれています。社員が共有保管庫へのアクセスを申請すると、承認プロセスとIGAを経て、保管庫が自動的に本人のコンピューターに現れます。同氏は、この仕組みの効果が非常に大きかったと述べています。昇進や異動の際も、Oktaの適切なグループに移すだけで、1Password側のアクセスも自動で変わります。

入退社のアクセス管理をマネージャーが担う

現在、1Passwordは業務用のコンピューターに標準でインストールされています。社員がアカウントを作成すると、マネージャーはIT部門に頼らず、リモートでアクセスを付与・管理できます。退職時はマネージャーがアカウントを取り消すか閉じるだけで、1Passwordに保存された会社のパスワードやデータへのアクセスを止められます。退職者が最終出社日の後に機密情報に誤ってアクセスしたり共有することも防げます。同氏は、サポートが難しいシステムではなく、利用者によりよい体験を提供し、実際のサポートの負担を減らすシステムに社員を迎え入れたかったと説明しています。

パスワードのリセットとサインインできない状態を削減

サポートチームにとっては、パスワードのリセットや、トラブルシューティングが成功したかの確認に費やす時間が減りました。同氏は、利用者がどれだけ簡単に自分で問題を直せるかという視点で考える必要があると述べています。社員はパスワードを覚えることも探すこともなく必要なものにアクセスでき、入力ミスでサインインできなくなることも減っています。個人の遅れはチーム全体に影響し、プロジェクトの期間を延ばしかねないため、この点は重要です。Touch IDなど端末の機能への対応や、ほかのセキュリティーサービスとの円滑な統合も、業務ツールへのアクセスを効率化し、社員の日々を少し楽にしています。

この導入事例からの学び

パスワードマネージャーを一部のチームだけが使っている状態では、残りの社員の習慣はばらばらなまま残ります。同社は、技術者以外も簡単に使えることを選定の条件に置き、全社へのロールアウトを前提にツールを選び直しました。リモート中心の組織が確認すべきは2点です。1つは、IDプロバイダーのグループと保管庫のアクセス権を結び付けられるかどうかという点です。ヘルプデスクに人が来ない環境では、入退社や異動のたびの手作業がそのまま負担になります。もう1つは、社内の大半を占めるOSへの対応の早さです。同社の場合、デスクトップの95%がMacであることが選定の条件になっていました。

出典：1Password