導入事例

ADFSサービスを利用することで、ポータルサイトや財務会計などのバックオフィスの基幹システムの一部にシングルサインオン（SSO）を実現していました。そこで致命的な課題が発生していた訳ではないのですが、基幹システム以外のツールやシステムにも適用し、オペレーションコストをしっかり削減したいと考えていました。
ただ、投資対効果を検証するために生産性がどの程度まで向上したかを可視化したかったのですが、弊社の社内システムは事業部単位でも数百もの個別システムが乱立している状態で簡単ではなかったのです。
また、多くの事業とさまざまな雇用形態のユーザーが社内システムを利用している状況に対して、当時のADFSサービスでは柔軟なアカウント連携の機能が充分でなかったため、Okta WICの導入を検討し始めました。

いかに多くのシステムに対応しているか、つまりベンダーフリーなIDaaSを求めていました。弊社特有の文化なのですが、事業部の数も拠点の数も多いために現場ではさまざまなシステムが使われています。新卒採用だけでなく、保育人材や介護人材、メディア事業など、それぞれの業界にはそれぞれの業界スタンダードなSaaSやシステムがあり、現場の裁量で導入されているため、乱立状態と言っても過言ではありません。とにかく多くのシステムをつなげることが、今回の取り組みにおけるキーサクセスファクターだったのです。
もうひとつ、私が重視したポイントが製品思想です。たとえば同じような機能や管理画面をもつ製品が2つあるとして、「今後どのように新機能が開発されていくか」「どのように使い勝手が向上していくか」といったプロダクトのロードマップは、製品思想によって異なっていきます。IDaaSやSaaSは長く付き合っていくものですから、将来どのように変化していくかを想像し、自社の将来像に合致しているかを重視するのは大事なことです。
Oktaの企業文化や社名の語源なども調べています。Oktaとはもともと「雲（Cloud）」の量を示す単位であり、Oktaでは「中立」「あらゆるテクノロジーを安全に使うことができる世界」を目指しているそうです。そこからOkta WICが今後もベンダーフリーなIDaaSであり続けること、弊社の将来像にとって必要なIDaaSであり続けることを確信し、導入を決定しました。

まず、2022年12月に社内でOkta WIC導入のための決裁を得る必要がありました。ネクストモードさんには真摯にご対応いただき、おそらく10回程度は価格調整とお見積りの作成をご依頼したと記憶しています。スピーディかつリアルタイムで価格を調整いただけたおかげで、今回は無事にOkta WIC導入の決裁を得ることができています。
そこから2023年3月までは、主に濱野がPoCのためにADFSサービスからの移行と、各事業部で使用しているシステムを整理しました。ただ、いきなりすべての事業部に導入するのではなく、経営課題と事業課題を考慮してシングルサインオン（SSO）による大きな業務改善が期待できる事業部に絞りました。その結果、選ばれたのがBPOの事業部です。

BPO事業部では、お客さまのコールセンター業務や人材採用のオペレーション業務を代行しているのですが、その際にお客さまが普段使用されているものと同じシステムを使うことになるため、非常に多くのシステムを使い分けていたのです。さらには、案件ごとに複数の担当者がシステムを使うことになるため、ID管理も非常に煩雑になっていました。
にも関わらず、万が一セキュリティーインシデントを起こしてしまえば、すぐに解約されることもありますので、ID管理は事業の生命線とも言えるのです。

松岡とは当初、「そもそもシングルサインオン（SSO）で事業部の課題は解決されそうか」と相談していました。というのも、そもそもOkta WICと連携していないシステムが多いように見受けられたのです。しかしOkta WICの機能であるSWA（Secure Web Authentication）を使用すれば、外部のWebアプリケーションにもシングルサインオン（SSO）の機能を提供することができると分かりました。
管理側にはSWAのオペレーションが発生しますが、お客さまのシステムを自社のIDとパスワードでログインできること、管理者だけがIDとパスワードを管理していればよいことは、私たちとBPOの事業部にとってまさに革命だったのです。
こうした取り組みの結果、BPO事業では500アカウントをOkta WICで管理できるようになり、360時間（2.25人月）相当の内部統制上のオペレーションコストを削減することに成功しました。

社内すべてのシステムの認証基盤を、Okta WICありきの構成にしたいと考えています。そうなれば、社内でどのようなアプリケーションがどれくらい使われているのかが明らかになり、いわゆる「シャドーIT」が可視化されていくはずです。
そこからシャドーITを減らしていき、「Okta WICに連携さえすれば、社内でいろいろなシステムを安心して使用できるのだ」という文化とルールを浸透させていきたいと思います。具体的には、システムの利用申請のフローや新しいシステムの導入プロセスを全体最適にしていくことなどが挙げられます。
もう少し長期的な目線ですと、会社の事業規模が大きくなっていくにつれ、いずれ内部統制やガバナンスを今以上に強化しなければならないタイミングが訪れるでしょう。その時に「あの頃に認証基盤を整えておいてよかった」と社内から評価されるよう、今後もゼロトラストモデルの構築に取り組んでいきたいです。

Okta WICを導入するにあたって、ステークホルダーへの説明が「セキュリティー強化のため」だけでは難しいと思います。セキュリティー強化の重要性や他社の事例を説明することももちろん大事ですが、Okta WICを導入することで見込まれる投資対効果を説明することから逃げてはいけません。
もちろん、日々さまざまな情報漏洩のニュースが流れている昨今においてセキュリティーの重要性を多くの経営層に認識されていると感じています。しかし、そこに甘えずゼロトラストモデルを構築する意義と得られる成果に対して担当者が真摯に向き合い、社内から理解を得ることが理想だと、私は考えています。