Virtru、1Passwordで個人の端末の業務利用を安全に認め遮断されたアクセスの100%を社員が自分で解消

データがどこに保管・共有されても管理を保てるようにするセキュリティー企業Virtruは、1Password Extended Access ManagementのDevice TrustとEnterprise Password Managerを導入し、個人の端末の業務利用（BYOD）を安全に認められるようにしました。遮断されたアクセスの100%を社員が自分で解消しており、端末の問題の解決にかかる時間は50%短縮されています。同社は、オープンソースで相互運用できるデータ保護の標準であるTrusted Data Format（TDF）を土台に、データを中心にしたゼロトラストのセキュリティーを提供しており、世界で6,000を超える顧客を抱えています。

導入前：個人の端末を安全に受け入れる手段がなかった

同社は200名を超える社員を抱えるソフトウェア企業で、メール、ファイル、アプリで共有される機密データへのアクセスを管理する仕組みを提供しています。しかし自社では、個人の端末が安全で信頼でき、要件を満たしているかを確かめる手段がなく、BYODを受け入れられませんでした。セキュリティー更新が提供されなくなったOSの古い端末を使っていないことも確かめる必要がありました。一方で、社員が個人の端末で受け入れ、立ち入り過ぎだと感じないツールでなければなりませんでした。パスワードの保管と共有のやり方もばらばらで、安全かつ簡単に扱える仕組みが求められていました。ITマネージャーのJake Munive氏は、1Password Extended Access Managementの導入前は、個人の端末にポリシーや脆弱性のチェックを適用する方法がなく、1Passwordがその問題を完全に解決したと述べています。

選定：端末の中身をのぞかずに状態を確かめる

同社は全社員の端末にDevice Trustを導入し、既知で信頼できる端末だけが会社のリソースにアクセスできるようにしました。個人の端末で業務のアプリを使いたい社員にもDevice Trustのインストールを求め、自社のセキュリティーの仕組みをBYODにまで広げています。同氏は、セキュリティー企業である自社にとって、個人の端末がもたらす空白をDevice Trustで埋めるのは理にかなっていると話しています。

ロールアウトは円滑に進みました。従来のMDMと異なり、Device Trustは端末の状態の分析に必要な特定の項目だけを確認するためです。同氏によると、ハードドライブの中身を丸ごと取り出したり写真を見ることはできない点が、社員の安心につながっています。社内のリソースにアクセスする前に、最新のOSの更新とセキュリティーパッチが適用されていることも確かめられます。

数字で見た導入効果

社員が自分で直した端末の問題は9,930件

端末がチェックに通らなかった場合、社員には分かりやすい手順が段階ごとに示され、自分で問題を解決して仕事を続けられます。同社はチェックに通らなかったときに表示される手順を独自に調整し、自分で直す流れをさらに簡単にしました。同氏は、遮断された後や端末の再チェックが必要なときにも、社員が円滑かつ安全にアクセスを取り戻せると説明しています。掲載時点で、社員が自分で直した端末の問題は9,930件に上ります。

遮断されたアクセスの100%を社員が自分で解消

その結果、遮断されたアクセスの100%を社員が自分で解消しています。同氏は、全ての認証を監視し、全ての端末が最新かを確かめるセキュリティー担当者のチームを抱えなくても済むようになり、安心できていると述べています。

端末の問題の解決にかかる時間を50%短縮

同社の見積もりでは、Device Trustによって社員が端末の健全性の問題の解決に費やす時間は50%減りました。サポートチケットも減り、IT部門はFedRAMPへの準拠の維持やほかの重要なセキュリティー認証の取得といった取り組みに集中できるようになっています。

承認していないAIツールの拡張機能を検出

1Passwordは、端末のセキュリティーの監視と適用に加え、技術に明るい社員が使うソフトウェアの把握にも役立っています。たとえば、文章の改善を助けるAIアプリの多くは、社員の下書きを自社のAIモデルの学習に使います。同氏は、これは自社の使命と合わず、データのプライバシーを極めて重視していると説明しています。AIの文章作成ツールは攻撃対象領域を広げ、社員が機密データを漏らす可能性も高めます。そこで同社は、Device TrustでAIの文章作成ツールに関わるブラウザー拡張機能が入っていないかをチェックし、見つかった場合は社内の文書など機密性の高いリソースへのアクセスを遮断しています。

クレデンシャルの安全な保管と共有

Enterprise Password Managerは、ログイン情報、多要素認証のコード、その他のシークレットを安全に一元的に保管し、配布する場所になっています。1Passwordに保管したクレデンシャルでアプリにサインインする際は、Device Trustが安全で信頼できる端末かを確かめます。同氏は、アカウントのパスワードを周りに聞いて回る必要がなくなり、社員は毎週何時間も節約できていると話しています。部門内でのパスワードの共有や、部門間での一時的な共有にも使われています。

この導入事例からの学び

同社は、端末の状態を確かめつつ中身はのぞかないことで、個人の端末を業務に使う社員の信頼を保ちながらBYODを受け入れています。BYODを認めたい組織が確認すべきは2点です。1つは、端末のチェックが確認する項目を限定し、社員にとって立ち入り過ぎにならないかどうかという点です。同社では、従来のMDMと異なり特定の項目だけを確認する点が、ロールアウトを円滑にしました。もう1つは、遮断された社員が自分で直せる手順を示せるかどうかです。同社では、手順を独自に調整したことで、遮断されたアクセスの100%を社員が自分で解消しています。

出典：1Password