SandboxAQ、1Passwordで50を超える端末のチェックを適用しIT部門で毎週10時間を節約

AIと量子技術を組み合わせたソリューションを提供するSandboxAQは、1Password Extended Access ManagementのEnterprise Password ManagerとDevice Trustを導入し、信頼済みで要件を満たす端末からしか社内のシステムにアクセスできない状態を作りました。50を超えるチェックを稼働させ、少人数のIT部門で毎週10時間を節約しています。サポートチケットは、以前のツールをデプロイしたときと比べて60%少なくなりました。同社の大規模定量モデル（LQM）は、ライフサイエンス、金融サービス、ナビゲーションなどの分野に重要な進歩をもたらしています。

導入前：パスワード管理は30名だけ、端末の要件も厳しく

同社は2022年に独立して以来、正社員280名と約100名の業務委託先を抱えるまでに成長しました。米国政府が特別な保護を求める管理対象非機密情報（CUI）も扱っています。組織の成熟に伴い、追加の保護策が必要になっていました。

以前のパスワード管理ツールを使っていたのは、主にDevOpsの30名だけでした。ほかの社員は個人のパスワードマネージャーに頼っており、やり方に一貫性がなく、リスクを高め、管理者からは何も見えませんでした。社員と業務委託先の双方に、機密情報への適切な範囲のアクセスを、信頼できる端末からだけ与える柔軟さも必要でした。CUIのような機密情報を扱うには、端末の要件に関するポリシーを厳格に適用し、アクセスを管理された信頼できる端末に限る必要があります。業務の流れが複雑になるなか、強固で一貫したセキュリティーを保つため、管理の負担とサポートチケットを減らし、繰り返しの作業を自動化することも欠かせませんでした。

選定：一部の技術者だけでなく全社で使えること

社内のIT部門を立ち上げるにあたり、IT責任者のDan Berman氏の目標は明確でした。全社が使い、信頼できる仕組みを作ることです。同氏はまず、1Password Extended Access Managementの基盤であるEnterprise Password Managerによって、全社のクレデンシャルの管理を安全で使いやすい1つの仕組みにまとめました。クレデンシャルは暗号化された保管庫に保管し、IT部門はポリシーの設定と利用状況・コンプライアンスの把握ができます。強固なアクセスポリシーと詳細な監査証跡は、ISO 27001やSOC 2への準拠を示すのに役立っています。

同氏はほかの企業でもEnterprise Password Managerを使っており、定着しやすいことを知っていました。際立っていたのは、一部の技術者だけでなく組織全体で機能する点だったと話しています。以前から個人向けの1Password Personal Password Managerを経費で購入して業務に使っていた社員もおり、需要の強さを示していました。正式にデプロイしたことで全社に行き渡り、価格面の条件のよさも決め手になりました。ビジネス向けのライセンスごとに1Password Familiesが無償で付くため、重複していた費用を減らせたうえ、個人にとっての価値が加わって定着も進みました。

現在、新しい正社員は全員、初日に1Passwordへの招待を受け取ります。業務委託先も、社内のアクセスガバナンスの仕組みから1Passwordのアカウントを申請できます。各チームは自分たちの保管庫のパーミッションを管理し、監査証跡を残しながら、CUIをはじめとする機密データに適切な人だけがアクセスできるようにしています。

数字で見た導入効果

50を超えるチェックで端末を常時確認

クレデンシャルの基盤を整えた同社は、保護の範囲をシステムにアクセスする端末にまで広げるため、Device Trustを導入しました。アクセスを許可する前に端末の状態を確かめ、全てのサインインが信頼済みで要件を満たす端末から行われるようにしています。社員は自分のモバイル端末からも、いつでもどこでも安全に業務のツールにアクセスできます。

デスクトップの端末には、エンドポイントの検知と対応、ディスクの暗号化、ファイアウォールの有効化、OSの更新、画面ロックを対象とする50のチェックを設けました。モバイル端末にも、脱獄されていないことと最新の更新が適用されていることを確かめるチェックを加えています。こうしたリアルタイムの監視は、コンプライアンスにとどまらず、ディスクの空き容量の不足やバッテリーの劣化といったサポートの問題の兆しを早めにつかみ、チケットになる前に対処することにも役立っています。

サポートが必要だった社員は6%

Device Trustのロールアウトは、同氏の想定以上に円滑でした。利用者が何らかの操作をする必要がある複雑なツールのデプロイでは、同社はサポートチケットの発生率を15%未満に抑えることを目標にしています。Device Trustで支援が必要だった社員は6%にとどまりました。以前のツールのデプロイと比べると、サポートチケットは60%少なくなっています。同氏は、これほどの成功率はほとんど聞いたことがなく、Device Trustがいかに直感的かを示していると述べています。支援がほとんど要らない場面でも、1Passwordのチームは常に対応してくれたという評価です。

IT部門で毎週10時間を節約

Device Trustは、チェックに失敗した利用者への催促を自動化し、手作業での追いかけを減らしています。社員は自分で問題を直す手順に沿って対処できます。ウェブフックとAPIを使ったセルフサービスのワークフローも作っており、たとえば新しい端末を登録する際に30分の例外の時間を与え、IT部門の支援なしで登録できるようにしています。1PasswordをIDプロバイダーとつないでプロビジョニングも自動化し、新入社員はすぐに利用を始められ、アクセス権は常に最新に保たれます。これらの効率化を合わせて、少人数のIT部門で毎週少なくとも10時間を節約しています。同氏は、以前はサポートの量が懸念だったが、今は多くの問題が大きくなる前に自動で解決され、そもそも問題が起きにくくなっていると話しています。

この導入事例からの学び

同社は、全社のクレデンシャル管理を先に整え、その上に端末のチェックを重ねました。CUIのような規制対象のデータを扱う組織にとって、端末の要件を全てのサインインに適用できることは欠かせません。少人数のIT部門が確認すべきは2点です。1つは、チェックに失敗した社員を自動で促し、自分で直せるようにできるかどうかという点です。ここが手作業のままだと、チェックを増やすほどIT部門の負担が増えます。もう1つは、端末の新規登録のような例外的な場面をセルフサービスで処理できるかどうかです。同社では、30分の例外の時間を与えるワークフローがその役割を担っています。

出典：1Password