ワークフォース・アイデンティティ
エンドポイント管理
エンドポイント検知・対応
脆弱性管理
コンプライアンス自動化
トラスト・センタ
課題
Owkinはパリに本社を置く生成バイオロジーAI企業で、フランス、イギリス、米国、ドイツ、オランダ、スペイン、イタリアの7カ国にわたって約260名の従業員が働いています。CISO（最高情報セキュリティ責任者）であるLeo Cunningham氏は、クラウドセキュリティ、DevSecOps、AppSec、コンプライアンス、リスク管理など、情報セキュリティ全般を括括して統括しています。エンドポイント管理もその領域に含まれており、日常的な運用はIT OpsチームのメンバーであるAdrian Vasile-Ciorba氏が担当しています。
Leo氏はOwkinにおけるセキュリティのあり方を再構築することにかなりの時間と労力を費やしており、技術スタックのあらゆる層に対して同じ高い基準を求めていました。彼は「私たちはセキュリティのあり方を全面的に再構築し、可能な限り最高水準のものにするために多大な時間と労力を費やしてきました」と語ります。
しかし、既存のデバイス管理ツールはその基準を満たすことができませんでした。ISO 27001監査の準備を進める中で、そのギャップが浮き彫りになりました。追求するすべてのコンプライアンスプログラムにおいて自社に高い基準を課している企業にとって、そのような状況を放置することは許容できませんでした。
エンドポイント運用を担当するチームは小規模であったため、機能の深さと同じくらいツールの親和性が重要でした。オーバーヘッドを生み出したり、オペレータによる常時の監視や手動介入を必要としたりするソリューションは、Owkinの運用モデルには適合しませんでした。
Leo氏が述べるように、「小規模なチームである以上、ミスを侵す余地はありません。組織に導入するものは何であれ、私たちの負担になるのではなく、私たちの力になってくれることが不可欠なのです。」
解決策
Owkinは、Leo氏が他のスタック全体に適用していた再構築の規律を同様に実現できるデバイス制御およびレポート層を必要としていました。それには、オンデマンドで取得可能なコンプライアンスの証跡、初日から組み込まれたセキュリティベンチマーク、そして少人数のチームが7カ国にわたって実際に維持・運用できる運用モデルが求められました。
初期段階からコンプライアンス基準をクリアするプラットフォーム
ISO 27001監査において直ちに求められた要件の1つは、単にコンプライアンスを主張するだけでなく、それを実証できるツールでした。Iruには業界標準のセキュリティベンチマークがプラットフォームに組み込まれて出荷されているため、Owkinはコンプライアンス体制をゼロから構築したり、監査人向けに別途証跡を維持・管理したりする必要がありませんでした。
「Iruにはそれが標準で備わっているため、第一に運用の手間が格段に軽減されます。第二に適切な方向性へと導いてくれます。そして第三にコンプライアンス要件をしっかりとクリアできます。さらに、その証跡を極めて明確に証明することができるのです。」
Leo Cunningham
CISO
大規模な環境における登録と設定
7カ国で従業員が入社する環境において、Owkinは中央のITタスクキューを介してデバイスのキッティング処理を行うことができませんでした。Apple Business Managerと統合されたIruのゼロタッチ登録により、新入社員が端末を起動した瞬間にMacがセットアップされます。Leo氏はそのプロセスについて、「新しいユーザが社に加わった際、そのMacは起動した瞬間にIruやApple Business Managerを通じて自動登録され、ほぼ即座に業務で使用できる状態になります」と簡潔に述べています。
ブループリントは、セキュリティ設定、制限事項、アプリケーション設定など、端末群全体の標準構成を定義します。新しいブループリントが配信されると、手動での再構築を行うことなく該当するデバイス全体へ適用されるため、IT Opsチームは大規模な環境においても一貫性と再現性のあるベースラインを維持できます。
「ブループリントによって各種アプリ全体に完全な設定が配信されます。セキュリティ設定や制限事項も含まれており、一連の膨大な手動作業を行う手間を省いてくれます。」
Leo Cunningham
CISO
端末群全体のコンプライアンス維持とアプリケーション更新
Owkinは、225台のMac端末で構成される環境において、120以上のライブラリアイテム（Iruが各デバイス上で管理するアプリ、設定、スクリプト、プロファイル）を運用しており、プラットフォームがそのすべてのコンプライアンス状態を追跡しています。直近の計測では、IT Opsチームによる日々の特別な運用作業を必要とすることなく、端末群全体のセキュリティ統制に対するコンプライアンス率は99.9%を達成しています。
以前は手動対応が必要だったアプリケーションのアップデートも、現在は自動で適用されます。かつて継続的なIT Opsの作業を発生させていたパッチ適用サイクルも、バックグラウンドで処理されるようになりました。
デバイスの状態に関する疑問が生じた場合、チームはIru AIを活用して回答を得ています。Leo氏は次のように述べています。「当社のIT OpsメンバーはAIアシスタントをとても気に入って活用しています。さまざまな疑問への解答や、どのデバイスでFileVaultが有効になっていないかを特定するのに大変役立っています。」
セキュリティスタック全体の統合
IruはOwkinのより広範なセキュリティツール群と連携しています。例えば、デバイスのステータスやコンプライアンス状態は、Owkinがコンプライアンスモニタリングに使用しているVantaへとシームレスに連携されます。
成果
再構築の前、Owkinのエンドポイント層は、あらゆる面で高い水準を維持していた同社のセキュリティプログラムにおいて最も脆弱な部分でした。ISO 27001監査により、その課題が明確な形で浮き彫りになっていたのです。小規模なチームが、自社で許容できる以上の手動作業を要するツールを用いて、複数国にまたがる端末群を管理している状態でした。
現在、エンドポイント層はスタックの他の領域と同じ最高水準で運用されています。ISO 27001の証跡は、監査のたびに収集・作成するのではなく、オンデマンドでいつでも取得可能です。アプリケーションのアップデートもオペレータの手を介さずに実行されています。
この成果を達成するためにチームの要員を増員することはしませんでした。Adrian氏が日常のエンドポイント運用に費やす時間は全体の約20%にとどまっており、7カ国に分散した環境においてもその低い負担率が維持されています。
「IT Opsチームの尽力には心から感謝していますし、彼らにはまさにそうした『妥協を許さず基準を引き上げ続ける姿勢』を求めています。」
Leo Cunningham
CISO
今後の展望
エンドポイント層は現在、Leo氏がOwkin全体で進めている広範な情報セキュリティ再構築のための安定した基盤となっています。デバイスの設定、パッチ配信サイクル、コンプライアンス証跡の収集、そして端末の登録作業がすべて日々の管理介入なしで運用されているため、セキュリティチームはクラウドセキュリティ、DevSecOps、AppSec、リスク管理など、Leo氏が構築を進める全体領域へと注力できるようになりました。創薬や精密医療にAIを応用する企業にとって、セキュリティチームの意識をエンドポイントの保守管理からこうしたより広いミッションへと向けておくことこそが、今回の再構築が目指していた本来の狙いです。
Owkinについて
Owkinはパリに本社を置く生成バイオロジーAI企業であり、7カ国にわたって約260名の従業員を抱えています。バイオ製薬企業や学術医療機関と連携し、創薬や精密医療の分野にAIを活用しています。