ワークフォース・アイデンティティ
エンドポイント管理
エンドポイント検知・対応
脆弱性管理
コンプライアンス自動化
トラスト・センタ
課題：スタートアップ規模におけるヘルスケアコンプライアンスの維持
Sprinter Healthは、従来のプライマリケア（初期診療）にアクセスできない患者に対し、訪問医療サービスを提供しています。現場の医療従事者はiPhoneやiPad端末を携えて患者の自宅を訪問し、保護対象保健情報（PHI）にアクセスしながら採血や看護ケアを行います。一方、本部のスタッフはMacを使用してリモート環境で業務にあたっており、機密性の高い患者データを扱うことも少なくありません。
2025年8月にRichard PattersonがSprinter Health初のIT担当者として入社した当時、同社は専用のIT部門を置かないまま従業員400名規模へと成長していました。急成長の局面において、IT管理の責務は社内のさまざまなスタッフに分散して割り当てられていました。しかし、そのようなアプローチを継続することは不可能でした。PHI（保護対象保健情報）を扱う医療事業者にとって、デバイスのコンプライアンスにおける不備がひとつでもあるだけで、監査対応が数ヶ月にわたって滞るリスクがあったためです。
PattersonはCOO直属のポジションに就き、明確なミッションを課されました。それは、人員を比例して増やすことなく、今後18ヶ月間の積極的な事業成長を支えることのできるIT部門を構築することです。さらに、コンプライアンス要件への対応は必須条件でした。年次のSOC 2 Type 2監査のクリア、全デバイスにおけるHIPAAへの準拠、そして2027年第1四半期に予定されている初のHITRUST監査に向けた準備が求められていたのです。
レガシーなツールの存在がITの革新を阻害
Pattersonが引き継いだデバイス管理プラットフォームは、機能としては十分であるものの、少人数チームにとっては運用上の負荷が大きいものでした。「非常に小規模なITチームで運用する場合、管理は容易ではありません」とPattersonは語ります。「私はそれを『MDM界のSalesforce』と呼んでいます。とにかく直感的ではないのです」
そのプラットフォームでは、管理対象のアプリケーションや設定ごとに個別の構成プロファイルを作成する必要がありました。ChromeにはChrome専用のプロファイル、Slackにはまた別のプロファイルが必要であり、それぞれ独立して範囲指定、除外条件、デプロイロジックを管理しなければなりませんでした。関連する設定をグループ化したり、デバイスに適用されているすべての設定を一箇所で確認したりする手段はありませんでした。トラブルシューティングを行う際は、問題の原因となっているプロファイルを特定するために、20以上のプロファイルを1つずつ手動で検証していく必要があったのです。
また、以前の構成ではMDMとGoogle Workspace間でのデバイス認証連携が欠落していました。IT部門が従業員のオフボーディング（退職処理）を行う際、Googleアカウントを無効化してもノートPCが自動的にロックされることはありませんでした。Pattersonが求めていたのは、MDMコンソールで手動操作を行わなくても、アイデンティティの失効が即座にエンドポイントへのアクセス権限へ反映される確実性でした。
より厳格なコンプライアンスフレームワークへの対応を進めるヘルスケア企業にとって、このプラットフォームによる運用上の負担は許容できないリスクとなっていました。Pattersonが必要としていたのは、最小限の監視で確実に動作し、要求に応じて監査に対応できる証拠を提供でき、かつデバイス群全体にわたって一貫したセキュリティ制御を適用できるソリューションでした。
解決策：初日からのコンプライアンス自動化
Pattersonは前職でもIruを使用しており、1人IT体制でありながらMac端末群全体の管理を実現させていました。Sprinter Healthの状況を評価した際、目指すべき道筋は極めて明確でした。
入社から数ヶ月のうちに、Sprinter HealthはMac端末群のIruへの移行を完了させました。
CISベンチマークの自動適用
数十ものセキュリティ制御を手動で設定する代わりに、PattersonはIruの「ブループリント」機能を活用し、業界標準のベースラインを一括適用することができました。CIS（Center for Internet Security）ガイドラインがプラットフォームに標準実装されているため、最小限の設定工数で導入を実現しました。
「最初からブループリントに対してCISガイドラインを自動適用し、監査の準備を進める中でそれをコンプライアンス部門へ提示できることには、大きな安心感があります。同じような確信を持って運用できる製品は、現在市場にある他のツールには見当たりません。」
Richard Patterson
ITマネージャー
この機能は監査においてきわめて重要な意味を持ちます。SOC 2 Type 2の監査人（アセッサー）は、レビューの時点で制御が存在していることだけでなく、対象期間を通じて一貫して制御が適用されていた証明を求めます。セキュリティベースラインに対するIruのアプローチは、まさにその要件を満たす証拠を提供します。
Passportによるアイデンティティとデバイスアクセスの統合
Sprinter Healthにおける以前の環境で重大な課題となっていたのが、デバイス管理と認証基盤であるGoogle Workspaceとの連携欠落でした。以前のMDMでは、この連携を実現するために有償の追加機能（アドオン）を購入する必要があり、アイデンティティプロバイダーへのデータ同期にも遅延が頻繁に発生していました。
Iruの「Passport」機能は、この課題を標準機能（ネイティブ）で解決しました。Macデバイスの認証がGoogle Workspaceと直接連携します。IT部門が従業員のアカウントを停止すると、その従業員は自動的にノートPCへのアクセス権限を失います。「アイデンティティプロバイダーレベルでアカウントが停止された瞬間、ノートPCへのアクセスも遮断されます」とPattersonは語ります。「たとえ私がPCの前に居おらず、Iruから即座に端末をロックする操作ができない状態であっても、Googleアカウントへのアクセス権が失われることで、端末へのアクセスも同時に失われるのです。」
コンプライアンスチェックの自動化
Sprinter Healthは、SaaSおよびエンドポイント環境全体におけるコンプライアンス追跡を自動化するため、コンプライアンス自動化ツールを活用しています。Pattersonがデバイスのコンプライアンス領域を担当し、法務チームのシニアコンプライアンスマネージャーが医療従事者の資格要件管理を担当しています。
Iruは彼らのコンプライアンスソフトウェアと直接連携し、スクリーンセーバーのタイムアウト設定といった要件を手動検証なしで自動的にチェックします。「Iruを直接統合できるのです」とPattersonは語ります。「システムが自動的に取得してくれる項目がいくつかあります。例えばスクリーンセーバーの設定など、ライブラリアイテムのブループリント内に設定が存在することを自動的に認識し、要件をクリアしたものとして自動でチェックを入れてくれます。」
Type 2監査では、現在の設定状況だけでなく過去の履歴（エビデンス）が求められます。監査人は、対象の制御が監査直前に実装されたものではなく、少なくとも過去1年間にわたって正常に機能していたかを検証する必要があります。Iruの監査ログは、余計な手間をかけることなくその過去の記録を提供しました。
Blueprintによる構成管理の統合
コンプライアンス固有の機能にとどまらず、運用効率の大幅な向上をもたらしたのがブループリントのアーキテクチャでした。他のデバイス管理ツールが設定ごとに個別のプロファイルを必要とするのに対し、Iruのブループリントを使用することで、Pattersonはグループ単位でデバイス構成全体を一括定義できるようになりました。
「一番大きかったのは、間違いなくブループリントと割り当てマップ（Assignment Maps）です。これらを適用することで、条件に基づいてデバイスへ適用されるすべての設定を一箇所で一括管理できるようになりました。以前使っていた管理ソフトウェアでは、アイテムごとに個別で設定を行う必要がありました。少人数のITチームにとって、少しでも効率化を図れる要素は絶大な支援となります。」
Richard Patterson
ITマネージャー
成果：最小限の負荷で実現したコンプライアンス対応インフラ
現在、平均的な月におけるPattersonの業務時間のうち、デバイス管理に費やされる割合はわずか10%程度です。Iruの環境は一度設定すれば信頼性が高く、その大半が自律して機能しています。ライセンス数の確認やAPIキーの更新のために定期的にログインする程度で、日常的な運用負荷は最小限に抑えられています。
Sprinter Healthが所有する残りのデバイス群との対比を見れば、その成果は明白です。Pattersonの直属の部下は、従来のデバイス管理プロバイダーで運用されているiPhoneおよびiPad端末の管理に業務時間の約50%を費やしており、Macの移行契機となった設定の複雑さや運用上の負担に引き続き追われています。
「当社のIruインスタンスは非常にスムーズに運用できるよう構築されています」とPattersonは説明します。「ライセンス数に問題がないか確認したり、APIキーが変更された際に設定を更新したりするために定期的に確認する程度です。運用負荷は極めて軽微です。」
時間の削減だけでなく、このプラットフォームは組織のコンプライアンス態勢に対して常に確かな安心感をもたらしています。
「MDMが正常に動作しているだろうかと疑問に思う日は、一日たりともありません。ただ確実に機能してくれるのです。」
Richard Patterson
ITマネージャー
運用効率化により加速するHITRUST認証の準備
日常的なMDM管理の削減によってPattersonが確保できたリソースは、現在、2027年第1四半期を目標とするSprinter Health初のHITRUST認証取得に向けた取り組みへと充てられています。
より厳格なパスワードポリシーや堅牢なセキュリティ制御といった追加のHITRUST要件は、既存のSOC 2の基盤の上に構築されます。その多くはすでに実装済みか、軽微な調整のみで対応可能な状態です。「HITRUSTの多くの部分は、SOC 2で達成した成果の上に成り立っています」とPattersonは指摘します。「すでに自動的に要件を満たしている項目もあれば、HITRUSTによって基準が一段引き上げられる項目もあります。」
課題となるのは技術的な実装ではなく、組織的なチェンジマネジメント（変更管理）です。従業員への変更事項の周知、期待値の設定、一時的な管理者権限のリクエストフローの確立といった作業が該当します。こうしたコミュニケーションやプロセスの構築には時間と注意が必要となりますが、デバイス管理にリソースを奪われなくなったことで、Pattersonはその対応に十分な時間を割くことができています。
今後の展望：すべてのデバイスの統合管理へ
Pattersonは、Sprinter Healthが所有する残りのiPhoneおよびiPadデバイスについてもIruへ移行する計画を立てています。これにより、すべての端末が一貫したコンプライアンス制御下に置かれ、監査対応のさらなる簡略化が実現します。
トライアルユーザーを対象とした初期テストはきわめてスムーズに進んでおり、現在発生しているような慢性的な問題は一切見られません。モバイルデバイスを担当し、Iruの相互トレーニングを受けている彼の部下も、この移行を心待ちにしています。
Pattersonはこう語ります。「彼女は『今年中にこの移行を行いますよね？MacBook側でこれほど簡単なら、iPhoneでの運用がどれほど楽になるか想像できます』と言っています。」
移行が完了すれば、PattersonがMacデバイスの管理で実現した効率化が、現場の医療従事者が使用する端末群全体へと拡張されることになります。部下のデバイス管理の工数（現在50%）もPattersonと同等の10%程度まで削滅される見込みであり、デバイス管理を超えた戦略的イニシアチブへ充てるための追加リソースが創出されます。
HITRUST認証に向けた準備が進み、さらなる成長が見込まれる中、Sprinter Healthのわずか2名のITチームは、ビジネスの推進力を維持しながら、ますます厳格化するコンプライアンス要件を満たすためのインフラと確かな自信を手に入れています。
Sprinter Healthについて
Sprinter Healthは、従来のプライマリケア（初期診療）へのアクセスが困難な患者に対し、訪問医療サービスを提供するヘルスケア事業者です。現場の医療従事者は、患者の自宅で看護ケアや治療を行う際、モバイルデバイスを使用して保護対象保健情報（PHI）にアクセスします。同社はHIPAAへの準拠を維持し、年次のSOC 2 Type 2監査を完了させるとともに、2027年第1四半期に予定されている初のHITRUST監査に向けた準備を進めています。