Climatiqの少数精鋭のセキュリティチームがIru上に独自自動化を構築した方法

課題

Climatiqは、炭素排出データおよびAPIプラットフォームを提供する企業です。他社の事業活動（輸送ルート、製造への投入物、エネルギー使用量など）におけるCO2換算の排出量を算出することで、持続可能性目標に関する報告、定量的データに基づく持続可能性主張の実証、あるいはサプライチェーンや製造プロセスの最適化を支援しています。主にベルリンを拠点とする約47名の急成長中のチームで、現在も継続的な採用を行っています。ClimatiqのセキュリティエンジニアであるLorenzo Romero氏は、1人でクラウドインフラ、開発環境、そして社内のMacラップトップ端末全体という非常に広範な領域をカバーしています。欧州企業として、ClimatiqはISO 27001およびGDPRを遵守しています。そのため、デバイス端末全体のコンプライアンス管理は、主にLorenzo氏が担当しています。

Lorenzo氏が着任した当時、端末群は1年ほどIru（旧Kandji）を導入していたものの、大部分が手動設定で運用されていました。ラップトップは自動登録ではなく手動で登録されており、端末全体にWebフィルタリングを強制適用するという要件もまだ対応されていませんでした。

解決策

Lorenzo氏がIruで最初に手掛けた課題は、明白なものでした。端末の登録を手動から自動化へ移行し、端末全体へのWebフィルタリングを徹底することです。これら2つのギャップを埋めたことが、彼がその後構築するすべての施策の方向性を決定づけました。

Lorenzo氏が取り組んだすべてのプロジェクトにおいて、一貫して見られた強みがあります。それは、意識する必要のないユーザにとってはIruがシンプルなままでありつつ、カスタム構築を行いたい時には十分な柔軟性を提供してくれる点です。たとえば、「ライブラリ」と「ライブラリアイテム」という概念は直感的に理解しやすく、使い方が分からず相談に来るようなユーザは一度もいなかったとLorenzo氏は語っています。

Webフィルタリングの徹底的なルール化

Lorenzo氏は、端末群が抱えていたコンプライアンス上の課題であったWebフィルタリングの徹底解決を図りました。カスタムプロファイル（特定のOSレベル設定を個別適用する仕組み）を活用し、すべてのMacに対してマルウェアをブロックするDNSサーバーの使用を強制しました。これにより、既知の悪意あるドメインへのアクセスはブラウザ上で解決されず、例外やエンドユーザによる設定作業・設定漏れの余地を完全に排除しました。また、既存のGoogle Workspace設定と連携したIru経由でのChrome Enterprise設定も同時に適用されました。

手動設定からゼロタッチへ、基本設定をあらかじめ組み込み

Climatiqが利用するMacのリセラー（販売代理店）は、新規ハードウェアを同社のApple Business IDへ直接紐付けることができました。Lorenzo氏はIruの自動登録機能を設定し、それ以降の処理を自動化しました。すでに定義されていた基本設定（画面ロックのタイマー、画面ロックのキーボードショートカット、全端末へのパスワードマネージャーの配信）が、ラップトップがインターネットに接続した瞬間に自動で適用されるようになり、Lorenzo氏にとっても新入社員にとっても手動での設定作業が不要になりました。

IruのAPIとNotionを活用した端末群の監査

Climatiqの運用体制において最も特徴的な取り組みは、Lorenzo氏が自作したアプリ監査ツールです。Climatiqは使用を許可した全アプリのデータベースをNotion上で管理しており、独自スクリプトがIruのAPI経由で端末群全体のインストール済みアプリのインベントリ情報を全件取得します。それをNotionのリストと照合することで、承認されていないにもかかわらずインストールされているアプリを正確に抽出します。

これにより、エンドポイント上で動作しているアプリを手動で確認する必要がなくなりました。プレフィックスに基づくルール（AppleやAdobeのバンドルIDを持つアプリなど）によってノイズの大半が自動的に除外されるため、Lorenzo氏が年に数回確認するリストは最小限に抑えられています。

Climatiqが明確に不適切と判断したわずかなアプリに対しては、Iruのブロックリスト機能を用いて起動そのものを阻止しています。なお、この措置は慎重かつ限定的に適用されています。

新入社員向けのゼロコンフィグ ネットワーク設定

Climatiqは、企業のアイデンティティ情報が事前に設定されたTailscaleを展開するためにもIruを活用しています。これにより、新しいラップトップは初回接続時にClimatiqのGoogle Workspaceログイン画面へ直接アクセスできるようになり、Lorenzo氏にとっても新入社員にとっても、業務を開始する前の手動でのネットワーク設定作業が一切不要になりました。

成果

少人数のチームで欧州全域に分散するメンバーを抱える企業の端末コンプライアンスとセキュリティを管理していますが、Iruを活用することで業務が十分にシンプルに保たれ、特定の担当者が単一障害点になるのを防いでいます。

そのシンプルな運用性は、予期せぬトラブルへの対応においても同様です。Adobeソフトウェアにおいてゼロクリックのゼロデイ脆弱性が浮き彫りになった際も、約2時間以内にIruによって追跡され、緊急修正として端末群全体へ自動パッチが適用されました。

Lorenzo氏は、ツールの価値を「オーバーヘッド」の観点から考えています。あらゆるツールにはコストがかかりますが、製品によってはそのコストに「運用・維持のためだけに必要となる人員」まで含まれてしまいます。中小企業において、必要に応じた深いカスタマイズ（詳細に設定されたカスタムプロファイルや、Climatiqがアプリ監査のために構築したNotion連携のようなフルAPIアクセスなど）をプラットフォームが支援しているにもかかわらず、たった1人の担当者でも複雑さに忙殺されることなくIruを運用できます。

今後の展望

少人数のセキュリティチームにとって、ソフトウェアに対する最大の賛辞は「静寂」である場合があります。消火に追われる障害もなく、バックログが裏で静かに溜まっていくこともありません。それこそが、現在のClimatiqにおけるデバイス管理の到達点です。