ワークフォース・アイデンティティ
エンドポイント管理
エンドポイント検知・対応
脆弱性管理
コンプライアンス自動化
トラスト・センタ
Cronofyは英国ノッティンガムに本社を置くスケジューリングインフラ企業です。同社のAPIは、大手HRプラットフォームや採用プラットフォームをはじめとする数千社の企業で、カレンダー連携や面接調整のワークフローを支えています。従業員は約43名で、主に英国に分散しており、アムステルダム、ドイツ、スペインにもスタッフが在籍しています。
課題
Cronofyには専任のITチームが存在しません。Chris Taylorがシニアサイト信頼性エンジニア（SRE）として入社した際、CTOのGary Shutlerは、Chrisにバックグラウンドがあり、誰かが管理を担う必要があったため、SRE業務と並行してIT関連の責任を彼に委ねました。もう一人のシニアSREもその負担を分担しています。彼らの本来の業務は、Cronofyのプロダクトを支え、収益を生み出すインフラの稼働維持です。IT業務は、その本業の時間を圧迫しないよう、バックグラウンドで円滑に機能する必要がありました。
既存のIT基盤がない状態の中、CronofyはHoppyというサードパーティプロバイダーを通じてノートPCをリースしており、それにはMiradorというMDMソリューションがバンドルされていました。この取り決めにより設定作業の一部は外部委託できていたものの、大きなコストを伴っていました。スペインで新入社員を採用した際、Chrisは英国でMacBook Proを設定し、国際配送を行いました。その配送によって輸入税が発生し、2,000ドルを超えるエンジニアスペックのMacBook Proであったため、追加の税金によって費用が大幅に跳ね上がりました。Cronofyは新入社員がノートPCを受け取れるよう、通関費用を事前に送金しなければなりませんでした。
「ノートPCを入社初日に届けるため、彼が税金を支払えるよう多額の資金を送金しなければなりませんでした」とChrisは振り返ります。「私たちはこのような対応を早く終わらせたいと強く思っていました。」
最終的に財務部門からノートPCのレンタルモデルは維持コストが高すぎると指摘がありました。この話し合いをきっかけに、デバイスを自社で直接所有し、ツールを統合し、SREの継続的な手を煩わせることなく分散型チームをサポートできるIT体制を構築するという、より広範な見直しが進められることになりました。
Cronofyがこの課題の解決に着手すると、第2の問題が浮き彫りになりました。脆弱性管理に自動化が導入されていなかった点です。CVE（共通脆弱性識別子）が公開されると、ChrisはSlackに投稿して従業員に更新を呼びかけていました。しかし、ユーザは更新を先延ばしにし、通知を通知オフにしては、再度先延ばしにするという状況でした。CEOやCTOが介入して周知を強化することもありましたが、最初から最後まで手動のプロセスであることに変わりはありませんでした。「従業員に適用を徹底させるのは、実に大変な手作業でした」とChrisは述べています。
「その時点で決断しました。IT関連のことをすべて見直すのであれば、ツールを統合し、できる限りシンプルにしよう、と。」
Chris Taylor
シニアサイト信頼性エンジニア
解決策
Iruの選定
Cronofyは3つの選択肢を評価しました。業界標準であるJamfが有力候補と見られていましたが、評価を進めるうちに同社には適していないことがすぐに判明しました。複数のポータルを行き来する必要がある点、直感的とは言えないセットアップ手順、そして初期の段階で導入支援パートナーの起用を提案されたこと、そのすべてが意図とは異なる方向を指し示していました。「私ともう1人のメンバーだけで進められるくらい、シンプルなものであるべきだと考えていました」とChrisは語ります。「セットアップにかかる時間も、せいぜい1日程度であってほしいと。」 Mosyleも低コストな選択肢として検討されましたが、脆弱性管理や更新適用の自動化において、Cronofyが必要とする十分な機能を備えていませんでした。一方、Iruはデバイスのステータス、脆弱性、設定状況を1箇所で確認できる環境を提供し、チームは外部の支援を受けることなく、すべてを稼働させることができました。
「Iruのシンプルさは本当に魅力的でした。デバイスのステータスや脆弱性、その他のあらゆる情報を、まさに1つの画面（シングル・ペイン・オブ・グラス）で一元管理できる点が決め手となりました。」
Chris Taylor
シニアサイト信頼性エンジニア
ゼロタッチ登録：購入から初回起動まで
Cronofyが最も重視した要件は非常にシンプルでした。それは、デバイスが従業員の手に渡る前に、物理的に触れたり事前設定を行ったりする必要を完全に無くすことでした。
IruとApple Business Managerとの連携によって、これが可能になりました。現在、運用チームはApple Storeを通じて直接購入を行っています。Chrisがハードウェアに触れることなく、デバイスは自動的にBusiness Managerへ、そしてIruへと連携されます。新しい従業員がMacデバイスの電源を入れると、IruのLiftoffオンボーディング画面が表示され、ログインする前に登録手続きを案内し、主要なアプリケーションをインストールします。
「Macを購入すると、自動的にBusiness Managerに入り、そのままIruへと連携されます。そこからは通常のオンボーディングプロセスに従うだけなので、私の立場からも非常に快適になりました。」
Chris Taylor
シニアサイト信頼性エンジニア
今週ロンドンで入社した新入社員も、まさにこのプロセスを経験しました。ユーザの介入を必要とすることなく、Liftoff、アプリのインストール、ポリシーの適用を含め、デバイスがエンドツーエンドで自動設定されたことを確認する登録通知がChrisに届きました。デバイスはAppleから従業員の居住地へ直接配送されるため、事前設定されたハードウェアが国境を越えることもなく、輸入税が発生するリスクもありません。
アプリの割り当ては、デバイスグループタグを使用した単一のブループリントによって管理されています。役割ごとにデバイスのタグ付けが行われ、Iruはそのタグに基づいて自律的にインストールすべきアプリケーションを判定します。チームが拡大しても変更を加えることなくスケールアップできる、洗練された構造となっています。
更新の強制適用と自動化された脆弱性対応
Slackでのメッセージ送信と従業員の対応待ちに頼っていた従来の脆弱性管理のアプローチは、完全に刷新されました。
Cronofyは現在、Iruのマネージドソフトウェアアップデートを活用し、定義した猶予期間を設けてmacOSバージョンのコンプライアンスを強制適用しています。Chrisは最近、ユーザが強制期限の直前まで更新を保留する傾向にあることを確認し、その猶予期間を2週間から1週間に短縮しました。
「みんな『アップデートがあるな、でも今はいいや』という感じでした。そして2週間の間、ずっとそれを引き延ばしていたんです。それが今では、1週間しか引き延ばせなくなりました。」
Chris Taylor
シニアサイト信頼性エンジニア
アプリケーションの脆弱性に対して、Cronofyは深刻度に直接紐づいた強制適用タイムラインを備えたIruの「脆弱性レスポンス」を導入しています。緊急な脆弱性は1日以内、高深刻度は2日以内、中以下の深刻度は1週間以内にパッチが適用されます。Iruの自動アプリカタログに含まれるアプリケーションでCVEが検出されると、修復は強制適用期間内に自動で実行され、手動の介入も、ユーザが無視できるような画面表示も発生しません。
Cronofyの環境において、最も脆弱性のアクティビティが多いのはブラウザです。特にFirefoxでは最近、いくつかのクリティカルなCVEが検出されました。Iruの導入前は、脆弱性が発生するたびにSlackへの投稿と端末フリート全体への手動による確認作業が必要でした。現在ではこれらが自動的に修復され、ChrisはIT管理者チーム用に設定されたSlack通知を通じてステータスを監視するだけで済んでいます。ゼロデイ攻撃に関連する脆弱性について、彼は公表から1日以内のパッチ適用を望んでおり、強制適用タイムラインによってそれが既定の動作となっています。
セルフサービス機能により、ITチームが個別にリマインダーを送信することなく、従業員向けの情報通知が処理されます。システム自体が適用を強制するため、誰かがフォローアップを行わなくても端末フリートは常に最新の状態に保たれます。
追加のオーバーヘッドを伴わないコンプライアンス証拠の収集
CronofyはSOC 2認証を保持しており、現在はISO 27001およびISO 27018の監査に向けた対応を進めています。この取り組みは、これらの認証制度に最初から適合できるセキュリティベースラインの構築から始まりました。
Iruのトライアル期間中、Chrisは組み込みのCISテンプレートを確認し、いくつかのレベルを評価した上で、Miradorで強制適用されていた内容や各種認証で求められる要件に一致する具体的な制御項目を厳選しました。その結果完成した設定では、FileVaultによるディスク暗号化、安全なパスコード要件、アイドル時の画面自動ロック、デバイスファイアウォール、USBストレージアクセスのブロックを強制適用しているほか、エンドユーザによってmacOSアップデートの強制適用が無効化されないよう確保しています。EDRも標準設定の一部として端末フリート全体に自動導入されています。
社内のコンプライアンスプロジェクトマネージャーから Chrisへエンドポイントの制御項目が割り当てられると、彼はIruから直接エクスポートデータやスクリーンショットを取得します。これらの制御はポリシーによって端末フリート全体に強制適用されているため、収集される証拠は特定の時点でのサンプルではなく、実際のデバイスの状態を反映したものとなります。
「Iru側の証拠収集の作業は非常にシンプルです。ライブラリアイテムの設定画面や、すべてのデバイスにブループリントが正しく適用されている状態を、まさにそのまま示すだけで済むからです。」
Chris Taylor
シニアサイト信頼性エンジニア
成果
何ヶ月もの間、CronofyのCTOとの1対1の面談で「あなたの仕事を改善するために変えられることが1つあるとしたら何か」という質問に対するChrisの回答は、常に「社内IT業務に時間を取られすぎている」というものでした。しかし、現在その回答が出されることはなくなりました。
「Iruを導入して以来、社内IT業務が時間を奪う最大の要因になることはなくなりました」とChrisは語ります。
現在ではヨーロッパのどこで採用された新入社員であっても、入社初日に「Appleから直接配送された、すぐに使える完全設定済みのMacデバイスを受け取る」という全く同じ体験を得られます。オンボーディングにおけるChrisの役割は、入社日前にIruでデバイスを割り当て、適切なタグを追加する作業だけに限定されています。通関費用、手動での事前設定、国境を越える国際配送などは、一切発生しなくなりました。
セキュリティの強制適用も同様の軌跡をたどりました。かつてはSlackでのリマインダー通知、経営陣による注意喚起、手動での追跡確認を必要としていたパッチ適用が、現在ではChrisが設定した適用期間内で自動的に完了します。端末フリートが常に最新状態に保たれるのは、ユーザが通知に対応するからではなく、Iruが状況にかかわらずポリシーを適用するからです。通常の状態であれば、Chrisがログインするのは週に1回程度で、アラートの確認、脆弱性ステータスのチェック、微調整を行うだけで済みます。管理者権限を持つのはわずか2名のみです。ITの未処理タスクも、個別対応の追跡も、トラブルシューティングに追われることもありません。
今後の展望
主要な基盤システムが円滑に稼働している現在、Cronofyは次のステップ、つまりコンプライアンスのさらなる強化に焦点を当てています。
Cronofyは現在、ISO 27001およびISO 27018の監査に向けた対応を積極的に進めています。現在の証拠収集は手動プロセスであり、設定状態やブループリント適用結果のスクリーンショットを取得する形式をとっています。そのため、Chrisは今後1年間でIruのコンプライアンス自動化機能の活用を検討し、特定の時点での証拠収集から、ポリシーに基づく継続的なコンプライアンス管理態勢への移行を目指す計画です。
数千社もの企業が日々の業務調整で頼りにしているインフラの構築と維持を最優先課題とするCronofyのエンジニアにとって、デバイス設定やパッチ適用で削減できたすべての時間は、顧客が依存するアプリケーションの開発運用へ還元されています。
Cronofyについて
Cronofyは、英国ノッティンガムに本社を置き、ヨーロッパ各地に従業員が分散して在籍するスケジューリングインフラ企業です。同社のAPIは、大手HRプラットフォームや採用プラットフォームをはじめ、世界中の数千社の企業でスケジューリングやカレンダー連携機能を支えています。