導入事例

多くのスタートアップ企業と同様に、アクセス制限をかけた共有ドライブ上のスプレッドシート上にパスワードを記載し、開発で使用するAPIキーなどはSlackのDMでやり取りしていました。つまり、完全に運用ベースの管理で属人化が避けられない状況だったのです。監査法人や保険会社といった外部とのやり取りでは先方の運用に従い、PPAPでファイルをやり取りするケースが多かったです。

大きな課題は2つありました。まずひとつはスプレッドシートによるパスワード管理の安全性です。弊社が導入している一部のSaaSにはSAML認証に対応していないものもあり、個別IDとパスワードを発行し、スプレッドシート上で一つひとつ管理せざるを得ませんでした。加えて、弊社はISMS認証を取得しているため「複雑なパスワードを使用する」という社内規則を設けているのですが、それが徹底されているかを実際に確認することまではできず、社員の性善説を前提としていたのです。社員一人ひとりのブラウザ上に保存する方法もありましたが、端末自体がマルウェア感染してしまえば、丸ごとパスワードが抜き取られるリスクも懸念されました。
もうひとつの課題は、管理者に依存する属人化です。弊社では子育て世代を含め、男女問わず活躍しています。離職率も非常に低く、特に管理部はゼロを継続中です。その背景には、安心して働けるための産休・育休制度を手厚く整備しており、実際に現在も産休に入っている社員もいます。
特にそうした休職前の引き継ぎのタイミングで、パスワード管理の属人化が課題となっていました。実際に以前の場合は、すべてのパスワードをスプレッドシート上にまとめ、限定アクセスのドライブ内に格納するというアナログな引き継ぎをしており、手間と時間がかかっていたのです。

将来的な株式上場を視野に入れた体制整備にあたり、監査法人や証券会社からは情報漏洩リスクを徹底的に抑えるようにと求められるでしょう。可能な限りの資源を投じて取り組むものの、監査でまったく問題がないセキュリティ体制を築くには際限なくコストがかかりますし、弊社のようなスタートアップ企業にとっては投資できる金額が限られるため、「最適」を追求する必要があります。そのため、現在セキュリティ強化に投資できるリソースと上場前後の内部統制の強化、そして上場後のサービス拡大を見据え、最適なパスワード管理を行う必要があったのです。

スプレッドシート上でのパスワード管理をKeeperに置き換えた場合、その移行難易度と実務への影響を検証しました。具体的には既存情報の載せ替えがどれだけスムーズに進められるか、Keeper社が示す標準的な導入の手順や運用で問題なさそうかを確認しています。
PoCの結果として大きな問題はなく「全社導入しても支障なし」という結論に至りました。その後、当時進めていたIDaaSの検証・導入が落ち着いたタイミングで本導入を進め、グループ3社の全社員を対象に、約150ライセンスを契約・導入しました。

最も価値を感じているのが、「パスワード共有」の機能ですね。グループ内の社員や後任者など特定ユーザーに絞って安全にパスワードを共有できるだけでなく、「共通管理者による管理者コントロール」によって、共有されたパスワードの利用状況を管理部門で確認できます。
直近では、財務担当の社員が育休期間に入った際にとても役に立ちました。当該の社員はお金に関するサービスのパスワードという、とても機密性の高い情報を扱っていたため、いかに安全な引き継ぎをするかが問題でした。
当初はこれまで通り、アクセス制限をかけたスプレッドシート経由で共有することも検討していたのですが、ちょうどKeeperの導入が完了していたため、さっそく「パスワード共有」の機能を使用することになり、無事にトラブルなく後任へ引き継ぐことができています。

加えて、弊社が使用するIDaaSとSCIMでユーザー連携が可能なため新規ツール導入において発生しがちな個別管理の手間を回避でき、運用負荷が膨らみません。SaaSによってはエンタープライズグレードでないと連携できないものがありますが、Keeperはそのまま使えたので展開の手間が大幅に削減できました。さらにワンタイムパスワードの連携が標準機能として備わっており、従来のブラウザマネージャーやEntra IDのパスワード共有では対応できなかった部分までカバーできています。

導入以前のご案内がスムーズだったことで、問題なくKeeperの導入を進めることができました。具体的には、監査ログの取得方法や契約するプランの選定、コンプライアンス観点で付加機能の要否を一緒に整理いただきました。また、グループ3社の請求書や費用の分割、円建て請求書の発行など、個別の事情に配慮した契約プランをご提案いただけたことも大変ありがたかったです。

モニクルグループでは今後、金融サービスプラットフォームとして事業も会社も拡大していきます。それに伴い、ユーザーからお預かりするデータは増加し続けるため、厳重な管理体制の実現とセキュリティリスクとの戦いが私たちのミッションです。今後も引き続き、事業や会社のフェーズごとに必要なソリューションを企画・導入・運用していきます。
また、経営管理本部としては上場準備のための体制整備が直近のミッションになります。近年はセキュリティ不備が企業経営に重大な影響を及ぼす事例も多く、損害賠償リスクを低減する仕組みの構築は最優先です。金融分野のサービスを担う弊社にとって、ユーザーと顧客からの信頼を守るためにも万全なセキュリティ体制は事業継続の前提であり、それが上場企業としての管理体制構築にも直結すると考えています。

まずはグループ3社全社の導入を完了させ、パスワード運用を安定させていきます。さらに開発部門が扱うシークレットキーやAPIキーの管理にも、順次展開していきたいですね。Keeperには「特権アクセス管理」「シークレットマネージャー」といったオプション機能があり、来期の予算とも相談しながら検討していきたいです。

基本的なID管理やウイルス対策など最低限の基盤を整えていて、さらに高度なセキュリティ対策を検討しているフェーズの企業に、Keeperは向いていると思います。

コーポレートの立場で言えば、ほとんどの企業に導入を勧めたいですね。スプレッドシートでパスワードを管理していると、外部監査の際に必ず指摘を受けます。そうした課題を抱える会社にとって、Keeperのようなツールの導入とネクストモードさんのサポートは、十分な価値があると思います。