導入事例

一般的な境界防御モデルを採用していました。社内と社外に境界線を設け、その境界にファイアウォールといったセキュリティー対策を施す方法です。本社とデータセンターにオンプレミスサーバを置き、病院からお預かりした医療データを加工、クレンジングしてからデータ分析基盤に格納し、各サービスに展開するというデータフローを構築していました。
しかし3年ほど前から本格的なクラウドシフトに着手し始め、サービスのAWS移行を受けてデータ分析基盤もクラウド環境に移行していくことになりました。結果、守るべきデータが社内にほとんど存在しない状態になったことで、クラウドネイティブな認証基盤により「誰が、いつ、どこから、どこにアクセスしているのか」を監視、制御できる環境、つまりゼロトラストモデルのネットワークへの移行を進めることになったのです。

クラウドシフトを進める以前の段階から、経営会議の場で何度もゼロトラストモデルの話題を出し、「ネットワークとその環境ごと変えていくため、ある程度の投資額になる」と経営陣には伝えていました。このタイミングでは、まだ追加の予算が必要になることしか伝えられておらず、クラウドシフトで削減される予算までは経営層に浸透していなかったと思います。
予算を確保できたのは、オンプレミス環境の保守運用と、ライセンス更新が近づいてきた頃です。このタイミングで経営陣に対して「オンプレミス環境を維持するためには何千万という費用をかけて、保守運用サービスを更新し、必要なハードウェアを買い直し、さらに必要な仮想基盤のライセンスを購入し直す必要があります。同じ規模の予算でゼロトラストに移行するのとでは、長期的に考えてどちらがよいでしょうか」と費用対効果と削減されるコストを合わせて提案しました。ゼロトラストモデルの考え方を事前に浸透させていたこと、長期的な視点と費用の観点からオンプレミスとクラウドを比較したことが、ゼロトラストモデルへ舵を切れた決め手でした。

今回、Okta Workforce Identity Cloud（以下、Okta WIC）とNetskopeを導入する以前は、WindowsのサーバのActive Directory（以下、AD）に加え、他社製の認証基盤ソリューションを導入しており、このアカウント管理を一元化したいと考えていました。
これまでADのグループポリシーなどの機能でさまざまなサーバや端末を制御していたのですが、社内ネットワークをクラウドシフトしていく上での制約となっていたため、ADのロックを外すことも課題のひとつでした。また、他社製の認証基盤ソリューションでは、連携できるサービスやアプリが少なく、アカウントのプロビジョニングがGoogle Workspaceしかできなかったことも、当時の悩みでしたね。

社員や業務委託の方を含め合計300アカウントほどを対象に、2023年5月よりまずOkta WICの導入が始まり、11月からはNetskopeの導入が始まっています。Okta WICの導入については、デスクトップPCを使用している社員用の指紋認証に対応したUSBデバイス導入に時間がかかりました。
新しい認証方法の社内浸透には、今回は勉強会や説明会を開くのではなく、社内向けのヘルプデスクにOkta WICとNetskopeに関する特設ページを開設し、操作マニュアルやQAを設置、問い合わせができるようにしました。これまでに大きな混乱はなく、順調に導入が行えていると考えています。

取り組み初期にOkta WIC導入の手順書を展開いただき、私たちで社内向けにカスタマイズして社内ヘルプデスクに反映しています。手順書の内容は画面キャプチャーが豊富で操作方法が分かりやすかったです。加えて、シングルサインオン（SSO）の設定時はリモートで同席いただき、以前のセキュリティー体制からの移行をスムーズに進めることができています。
Netskopeについては、インターネット上にはあまり情報がなく、操作が止まってしまうこともしばしばありました。そこでネクストモードの担当の方に相談させていただき、ようやく正しくインストールできています。
また、導入時のサポートだけでなく、毎週のオンライン会議で進捗管理をしていただけたのも助かりました。プロジェクト進捗管理用のツールを使うだけでなく、毎回の定例会で宿題を出されていたので、何をいつまでにやるべきなのかを明確に把握できていました。

万が一、弊社から医療データが漏洩したとなれば、一般的な情報漏洩よりも、社会的な影響は大きいでしょう。最近になってようやく厚生労働省が「医療DX」を掲げ、「DX 推進ガイドライン」としてデータ活用を推進するようになりましたが、もともと医療業界には医療データを活用しようという意識がなかったですし、病院の外で収集し、活用するという考えに対して、否定的な意見があり、それは現在もまだ残っていると思います。
そうした業界において弊社が病院から医療データをお預かりできているのは、「MDVさんであれば」という信頼関係を地道に築いてきたからです。これでもしMDVにおいて情報漏洩が起きてしまえば実質的な損害だけに留まらず、これまでの信頼関係が崩れてしまい、規模によっては医療業界におけるデータ活用の推進を停滞、さらには後退させることにも繋がりかねません。
弊社ではまだ社員数が20名ほどの規模であった頃からリスクコンプライアンス部門を立ち上げ、専任の担当役員も設置して情報セキュリティーリスクの管理、低減に取り組んできました。セキュリティーに投じる金額自体は、オンプレミス環境だった以前よりも増えましたが、今後も変わらずクラウド時代に最適な情報セキュリティーリスク対策に取り組んでいきます。そして、フルクラウドと万全なセキュリティーを両立することで、医療現場のデータ利活用における模範的な存在になりたいと考えています。

企業規模にはあまり関係なく、弊社のようにクラウド化を進めている企業にはそれぞれのツールはおすすめできると思います。
また、ネクストモードさんのアジリティが高いサポートは、事前に仕様が完全にフィックスしていない状態で導入を進めていく企業には最適かもしれません。そもそも情報セキュリティーのハードルが高かったり、要件定義が難しいために運用しながら最適化する必要があったりと、弊社のように複雑な課題を抱えている企業の方にはぜひ一度、ネクストモードさんに相談してみることをおすすめします。