Storable、1Passwordで常設の特権をなくしアクセスの待ち時間を99%短縮

Storableは、1Passwordのクラウドネイティブな特権アクセス管理のプラットフォームでクラウド環境の常設のアクセスをなくし、1,000を超えるリソースを保護しています。アクセスの待ち時間は99%短縮し、過剰な管理者アカウントは93%、セキュリティーリスクは94%減りました。同社は特殊な不動産の物件管理の在り方を変えようとしている企業で、セルフストレージ業界で唯一の完全に統合されたテクノロジープラットフォームを、33,000を超えるセルフストレージ施設に提供しています。管理ソフトウェア、集客、CRMツール、滞納への対応などのソリューションを通じて、事業者の業務の効率化、入居者の獲得、収益の拡大を支援しています。

導入前：積み上がる常設のアクセス

事業の成長とプラットフォームの改善を続けるなかで、同社は、誰がどの目的でクラウドのリソースとデータにアクセスできるのかを、安全かつ見える形で制御する必要があると認識していました。組織内のチームや個人がデータとクラウドインフラストラクチャーにどうアクセスしているかを管理し、アクセスごとの業務上の目的を可視化できる特権アクセスの仕組みが求められていました。アクセス管理の手作業を減らし、チームが管理作業ではなく価値を生む仕事に集中できるようにすることも目標でした。従来のアクセス制御の方法では、今の運用とセキュリティーの要求に追いつけなかったのです。

クラウドインフラストラクチャーを急速に拡大するなかで、同社は管理しきれないほどの常設の特権のリスクを抱えていました。環境内の全てのアイデンティティーが、常に必要なわけではないシステムやデータへの持続的なアクセスを持っていました。こうした常設のアクセスは使われないまま蓄積し、監査上の弱点、コンプライアンスのリスク、拡大する攻撃対象領域になっていましたが、整理する簡単な道筋はありませんでした。

まず、常設のアクセスと過剰な権限を持つアカウントが、重大な脆弱性になっていました。次に、承認の連鎖が長くプロビジョニングも手作業だったため、DevOpsなどのチームがアクセスを数時間から数日待つこともあり、製品の提供が遅れ、生産性も落ちていました。また、誰が何にアクセスでき、どう使ったか、権限の水準が適切かが見えず、インシデント後の調査や報告が難しく、コンプライアンス監査の負担も大きくなっていました。さらに、急速な成長、インフラストラクチャーの複雑さ、人以外のアイデンティティーへの対応の不足が、こうした課題を深刻にしていました。

選定の判断軸：常設の特権をなくす設計

同社はデューデリジェンスの期間を経て、1Passwordのクラウドネイティブな特権アクセス管理のプラットフォームを選びました。1Passwordは、常設の特権をなくす（ゼロスタンディング特権）という考え方に基づいて設計されています。既存のクレデンシャルを管理するのではなく、申請の時点でタスクに合わせたロールとパーミッションを動的に作り、セッションが終わると自動で取り消します。これにより同社は、インフラストラクチャー全体で誰が何にアクセスできるかを完全に把握できるようになりました。

同社はInfrastructure as Codeでインフラストラクチャーを運用しているため、APIで動く1Passwordのプラットフォームは、コード化された既存のインフラストラクチャーと短期間で統合できました。追加の負担も、別途保守するツールも要りません。開発環境を自動で立ち上げてInfrastructure as Codeと統合できるため、従来のアクセスツールに手作業で組み込むための追加の基盤や負担がなく、開発の時間も短縮されています。

AWSとの統合で監査のデータを自動で記録

1PasswordはAWS IAM Identity Centerとネイティブに統合されており、パーミッションセットとアカウントを動的に対応づけて、AWSのアカウントと環境への期限付きのアクセスを、完全に監査できる形で付与します。全てのアクセスの申請、承認の判断、セッション中の操作が業務上の文脈とともに記録されるため、監査人が必要とする細かなデータを手作業の見直しなしで用意できます。クレデンシャルは申請の時点で発行され、常設の形では保管されず、セッションの終了時に自動でローテーションされます。

1Passwordは、Amazon S3、Amazon Relational Database Service（RDS）、Amazon Elastic Kubernetes Service（EKS）などAWSの主要なサービスと統合されており、AWSは1Passwordにとって、すばやく安全なアクセスのガバナンスを支える基盤になっています。

数字で見た導入効果

アクセスの待ち時間を99%短縮

アクセスの待ち時間は99%短縮されました。セルフサービスのアクセスの申請が、数時間や数日ではなく数秒で処理されます。

1,000を超えるリソースを保護

同社は1Passwordで1,000を超えるリソースを保護し、250を超えるAccess Flowを作りました。それぞれが独自の承認ワークフローと承認グループを持ち、インフラストラクチャーのセキュリティーを徹底しながら、業務上の理由づけを自動化しています。主任クラウドセキュリティーアーキテクトのJanna Hilferty氏は、1Passwordとのパートナーシップから得た価値は称賛しきれないほど大きいと述べています。

過剰な管理者アカウントを93%削減

過剰な管理者アカウントは93%減り、セキュリティーリスクは94%低減しました。常設の特権がない状態を前提にしているため、攻撃対象領域は根本的に小さくなっています。侵害されうる持続的なクレデンシャルも、悪用されうる放置された管理者アカウントも、引き継がれる過剰なパーミッションもありません。インシデントの際は、オンコールのエンジニアが本番システムへの緊急用のアクセスをすぐに得られます。監査証跡は完全に残り、インシデントの終了後に常設のクレデンシャルは残りません。

監査に向けたレポート

コンプライアンスチームは、ばらばらのログをつなぎ合わせることなく、SOC 2、ISO 27001、HIPAAの監査に向けたレポートを得られるようになりました。

この導入事例からの学び

同社の事例から読み取れるのは、既存のクレデンシャルを管理する発想から、申請のたびにパーミッションを作り、終わったら取り消す発想への転換です。積み上がった常設のアクセスをあとから整理するのではなく、そもそも残さない設計を選んでいます。

また、Infrastructure as Codeでインフラストラクチャーを運用している組織にとって、APIで動くプラットフォームであることが短期間の統合につながった点も参考になります。

同社が築いた基盤は、今後への備えにもなっています。AIエージェントやコパイロットがエンジニアと並んで本番環境で動くようになっても、既にあるジャストインタイムでタスク単位のアクセス制御がそのまま適用され、追加の設計は要りません。エージェントの普及で対応を先送りできなくなる前に、常設の特権のリスクに手を打っているという位置づけです。

出典：1Password