IntruderがIruを活用して自社のサイバーハイジーンスコア「A」を維持する方法

課題

Intruderは、AIを活用したペネトレーションテスト、脆弱性およびエクスポージャー管理プラットフォームであり、少人数のセキュリティチームが、他者に先んじて攻撃対象領域全体の弱点を発見し、修正できるよう支援します。同社は自社製品の一環として、パッチ適用状況やエンドポイントの健全性を評価した「サイバー・ハイジーン・スコア」（A～Fの評価）を追跡しています。 Intruderのビジネスは、このスコアへの信頼に基づいて成り立っています。顧客は自社のリスク状況をIntruderに開示し、Intruderの価値提案のすべては、その情報を活用して有益な成果を生み出すことにあります。社内においても、Intruderは同様の方法で自社を評価しています。

長年にわたり、高いサイバー衛生スコアを維持することは可能でした。共同創業者のパトリック・クラストン（CTO）とクリス・ウォリス（CEO）は、共有のテーブルを囲む数人のメンバーで会社を立ち上げ、各自が自費で購入した個人用ノートパソコンを使って作業し、全員がその状況で何とかやりくりしていました。 しかし、従業員数が30人を超えると、すべてのノートPCにパッチを適用するという手作業のプロセスは機能しなくなってきた。当時、古いソフトウェアにタグを付け、一人ひとりに個別にフォローアップする役割を担っていたジョー・ヘイは、「エンフォーサー」というあだ名で呼ばれるようになった。パトリックは、反対側の立場から同じ課題についてこう語る。

その結果は、最も重要な指標に如実に表れた。まさに会社が、自社が販売する基準と同じ水準を自らも遵守していることを示す必要があったその瞬間、イントルーダー自身のサイバー衛生評価が「A」から不合格点へと低下し始めたのである。

解決策

高度な手動カスタマイズよりも、直感的なソリューションを選択

パトリックとジョーは、Iru（当時はKandji）を採用する前に、いくつかのデバイス管理プラットフォームを評価した。競合他社の中には、理論上はよりきめ細かな設定が可能なものもあったが、その柔軟性には設定の負担が伴い、専任のITチームを持たないイントルーダーには、それを引き受ける余裕がなかった。その代わりに、Iruの「独自のデフォルト設定」が採用された。

手動によるパッチ適用から持続的な「A」評価へ

Iruの導入後、自動化されたパッチ適用と脆弱性への対応により、そのギャップはほぼ即座に解消されました。

また、更新が強制されたことで、デバイスは人が対応するのを待つのではなく、カウントダウンに従って再起動し、パッチをインストールするようになった。この変化は従業員にもすぐに実感された。 このカウントダウンにより、従業員は通常1～2日前の事前通知を受け、その期間内に自分の都合に合わせて更新を適用できるようになりました。従業員からは、この強制措置は「不意打ち」というよりは「締め切り」のように感じられるとの声が上がりました。この導入以来、Intruderの社内サイバー衛生スコアは「A」を維持し続けています。

チームの拡大に伴うゼロタッチ登録

登録は当初、手動で行われていました。社内ドキュメントページ、リンク、登録コード、そしてクリックを促す短いメッセージという形でした。これは技術チームにとっては問題なく機能しましたが、技術的知識のない新入社員の場合、誰かが作業の進捗を確認し、追いかける必要がありました。 IruをIntruderのApple Businessアカウントに直接連携させることで、この手順が完全に不要になりました。

日常的なソフトウェア展開を「目に見えない」ものに変える

Intruder独自の脆弱性スキャン製品は、ノートPC上で動作する内部検出エージェントに依存しており、手動でのインストールプロセスが必要でした。Iru導入前は、従業員がターミナルコマンドを1行ずつ貼り付けて実行する必要があり、技術的知識のない新入社員にとっては特に困難な作業でした。Iruを通じてその展開を自動化することで、その手間が完全に解消されました。

自動的に集約されるコンプライアンス証拠

IntruderはSOC 2準拠を自らに課しており、Iruはそのコンプライアンス状況を直接反映します。ディスク暗号化、パスワードマネージャーの状態、その他の必須制御項目が、すべてのノートPCについて自動的にコンプライアンス管理ソフトウェアと同期され、何かが基準から外れた場合は即座に警告が表示されます。

成果

Intruderのサイバー衛生スコアは、導入以来、従業員数が2倍以上に増加したにもかかわらず、維持のための専任のIT担当者を増員することなく、一貫して「A」を維持しています。パトリックには今でも、「ITマネージャーを採用すべきか、あるいは外部の支援を仰ぐべきか」と尋ねられることがあります。

チーフ・セキュリティ・テクノロジストのアンディ・ホーネゴールド氏は、自社における運用負担の軽さを実感している。直感的なプラットフォームのおかげで、Iruのサポートチームに頼ることなく、システムを素早く操作することができる。

今後の展望

パッチ適用問題を解決したのと同じセルフサービスモデルが、すでに新たな課題への解決策として注目されています。 従業員が社内の業務効率化のために独自の「Claude Code」スキルを構築し始めた際、ジョーはIruのAPI上にセキュリティ承認パイプラインを構築しました。スキルが提出されると、Intruderのセキュリティチームがそれを審査し、承認されるとパッケージ化されてIruのセルフサービスポータルにプッシュされます。 そこから、誰でもワンクリックでインストールでき、新しいバージョンがリリースされると、IruのAPIによって常に最新の状態に保たれます。

アンディは、次のリスクカテゴリー、すなわちnpm、Homebrew、PyPIといったパッケージマネージャーにおけるサプライチェーンの侵害についても、同様の要望を抱いている。現在、彼はカスタムスクリプトを用いて潜在的な侵害を事後的にチェックしているが、悪意のあるパッケージがノートPCに届く前に、最初から完全にブロックしたいと考えている。

Intruderについて

Intruderは、AIによるペネトレーションテスト、攻撃対象領域（ASM）管理、クラウドセキュリティ、継続的な脆弱性スキャンを1つのプラットフォームに統合したサイバーセキュリティ企業であり、少人数のセキュリティチームが、悪用される前に最も重要な脆弱性を特定し、優先順位付けできるよう支援しています。 2015年に設立され、ロンドンに本社を置くIntruderは、世界中で3,000社以上の顧客と提携しています。