ワークフォース・アイデンティティ
エンドポイント管理
エンドポイント検知・対応
脆弱性管理
コンプライアンス自動化
トラスト・センタ
課題
TradeLockerは、トレーダーに注文執行、リスク管理、そして取引の流れを維持するための統合プラットフォームを提供すると同時に、提携するブローカーやプロップファームに対して、その体験を支えるインフラストラクチャを提供しています。チームのほぼ全員がザグレブのオフィスで勤務しており、同社のインフラはAWS上で稼働していますが、アクセスは社内ネットワーク経由に限定されています。
TradeLockerの設立以来、その境界線は「信頼」によって管理されてきました。チームは技術に精通し、セキュリティ意識の高い人材で構成されており、全員が各自でセキュリティを維持していました。TradeLockerの設立以来、その境界線は「信頼」によって管理されてきました。
「私たちはプロダクトの提供を最優先するスタートアップ企業でした。セキュリティは従業員への『信頼』に依存していたのです。しかし会社が拡大するにつれ、1枚の紙を手渡して『このルールを守ってください』と頼むだけでは、それほど多くのデバイスを管理することは難しくなりました」
Bojan Dunkicシステム管理者、 Tradelocker
会社の成長に伴い、ボヤンは、専任のセキュリティ担当者を置かずに各人にデバイスの管理を任せるというやり方が、後々問題を引き起こしていることに気づきました。TradeLockerのビジネスパートナーは規模を拡大し、セキュリティ意識が高く、成熟した体制が実証できる企業を期待するようになりました。これにより、TradeLockerは潜在的なセキュリティ問題をより真剣に受け止めるようになったのです。
そこでTradeLockerは、初の専任セキュリティ役職である「セキュリティ・インフラ責任者」を採用した。アロイジがその役職に就いた際、彼は非公式なセキュリティ対策が通常残す問題点――設定ミス、パスワードポリシーの未徹底、暗号化されていないノートPC、そしてこれらを一元的に把握する手段の欠如――を目の当たりにした。
彼が下した最初の決断は即座のものでした。TradeLockerにはデバイス管理が必要だったのです。
「誰もが脅威は外部からやってくる、つまり誰かがオフィスに侵入してネットワークにケーブルを差し込むような事態を想像しがちです。しかし実際には、インターネットに対して最も無防備に晒されているのはノートPCなのです。AWSはすでに安全であり、そこへのアクセスは当社のネットワークからしか行えません。そしてノートPCはそのネットワーク上に存在します。ですから、私にとって最大の課題はノートPCのセキュリティを確保することでした」
Alojz Kvočićセキュリティ&インフラストラクチャ責任者、Tradelocker
解決策
3つの要件、1つのプラットフォーム
評価の段階から、アロイズは単にMDMを探しているわけではないことを理解していました。
TradeLockerが導入を検討した際、要件はMDM、EDR、および脆弱性スキャナーの統合でした。なぜなら、これら3つすべてを単一のプラットフォームで活用することが最大の目的だったからです。 TradeLocker のシステム管理者であるボヤンは、以前の会社で 10 年以上にわたりデバイス管理プラットフォームの管理に携わってきましたが、そのたびに他者が選んだものを引き継ぐだけでした。今回は、彼とアロイズが自ら決定を下すことになり、Iru にたどり着くまでに 5、6 種類のツールを試しました。
「TradeLockerにとってIruが最適な選択肢だったのは、私たちがシンプルさを求めていたからです。私の経験上、Iruは操作性において最も優れており、最もシンプルなインターフェースを備えています。」
Alojz Kvočićセキュリティ&インフラストラクチャ責任者、Tradelocker
紙面上では機能リストが豊富なプラットフォームもありましたが、動作が遅く、使い勝手が悪かったのです。彼が求めていたのは、チームが実際に使用するすべての機能を備え、操作の邪魔にならないインターフェースを持ち、迅速に対応できるサポートチームを備えたソリューションでした。
「この分野には数多くのブランドが存在しますが、カスタマーサポートにおいてIruと同じアプローチをとっているところは一つもありませんでした。チケットを送信すれば、担当者がきちんと目を通し、適切に評価した上で、実現したいことについて直接対話しながら相談に乗ってくれます。これは私にとっても、TradeLockerにとっても非常に重要なことでした」
Bojan Dunkicシステム管理者、 Tradelocker
チームの実際の業務スタイルに合わせて調整されたISO 27001準拠のベースライン
すべての構成ポリシーを一から作成するのではなく、アロイズはIruが推奨する「ブループリント」テンプレートの1つを基に、TradeLockerのニーズに合わせてコンポーネントを修正しました。彼とボヤンは、チームごとに展開する前に、1か月間、各自のノートパソコンでそのブループリントをテストしました。
この展開方針は重要でした。従業員にとっては負担となる可能性があったからです。従業員は、ツールへのアクセスや権限を失うことを懸念していました。 そこで2人は、制限が実際の問題を解決していない箇所についてはルールを調整しました。標準のブループリントではブロックされていたAirDropの利用を許可し続け、強制再起動が業務の最中に発生するのを防ぐためChromeの更新期間を1週間に延長し、オンボーディング時のポップアップを、ブランドイメージに合致した最小限のシンプルなものに絞り込みました。
「当社ではIruを障壁（阻害要因）としてではなく、業務を支援・促進するためのツールとして活用しています。万が一悪意のある問題が発生しても、自分自身や会社を守ってくれるバックアップがあるという安心感があるため、社員は日々の業務により取り組みやすくなっています。」
Bojan Dunkicシステム管理者、Tradelocker
検知機能の実証
EDRと脆弱性管理が稼働状態になったことで、アロイズは自社の端末群を標的として、Iruの機能をテストする準備が整いました。彼はChromeの古いオフラインインストーラーを見つけ、テストマシンにインストールしました。
「インストールした直後に、すぐ通知が届きました。IruをSlackと連携させ、重大な脆弱性用のチャンネルを設けているのですが、古いバージョンのChromeをインストールしたところ、まさにそのチャンネルに通知が上がってきたのです。検出のスピードは非常に速く、ほぼリアルタイムだと感じます。」
Alojz Kvočićセキュリティ&インフラストラクチャ責任者、Tradelocker
さらに一歩踏み込み、怪しげなウェブサイトからクラックされたソフトウェアをダウンロードしました。解凍した瞬間、IruのEDRがそれを検知しました。
日常業務では、これらのツールが、OSからカスタムアプリケーションに至るまで、TradeLockerのソフトウェアスタック全体を最新の状態に保っています。TradeLockerの開発者は数多くの専門ツールを活用しており、Iruはそれらすべてを監視・更新しています。Iruのアプリカタログにまだ登録されていないツールがある場合、チームは追加リクエストを提出します。
Iruのコンプライアンス機能を活用したISO 27001への取り組み
デバイス管理の構築はフェーズ1でした。次のフェーズは予定より早く始まりました。評価の過程で、ボヤンがこれまで存在すら知らなかったある事実に気づいたからです。
「MDMを比較検討していた当時は、Iruにコンプライアンス・プラットフォームがあることを知りませんでした。弊社はアーリーアダプターとして導入しましたが、本当に素晴らしいです。何を整備すべきかを一つひとつ丁寧に示してくれるので、まるで手を引いて導いてもらっているようです。コンプライアンスとエンドポイント管理のプラットフォームは、まさに表裏一体だと感じます。」
Bojan Dunkicシステム管理者、 Tradelocker
TradeLockerは、プラットフォームの基準としてISO 27001を設定し、AWS、Slack、Google Workspace、そしてIru MDM自体といったシステムを情報源として連携させてきました。これらは、現時点でTradeLockerのシステムの半分を占めています。 Iruのコンプライアンス自動化機能は、接続された各ソースの実際の設定をTradeLockerのポリシーと照合してスキャンし、担当者がシステムごとにスプレッドシートに結果を入力する代わりに、独自に証拠情報を収集します。AIが接続作業を行うため、手作業によるプロセスが排除されます。
「私たちは皆、人間です。500ページものコンプライアンス報告書を読みたい人など、誰もいません。私はこれまでにISO認証の取得に何度か携わってきましたが、10年以上の経験の中でも、今回が情報収集のいちばん簡単な方法だと感じています。」
Bojan Dunkicシステム管理者、 Tradelocker
また、Iruのコンプライアンス自動化機能は、セキュリティアンケートへの対応にも役立ちます。
「パートナー企業からさまざまな質問が寄せられますが、トラストセンターのAIが自動で回答してくれるため、何百もの回答をExcelシートに手作業で書き出す必要がありません。膨大な時間を節約できるうえ、営業やパートナー経由のパイプラインも滞りなく進んでいます。」
Alojz Kvočićセキュリティ&インフラストラクチャ責任者、Tradelocker
実務を担うAI
AIの活用はコンプライアンスだけにとどまりません。IruのAIは、チームがプラットフォームを日常的に運用する一環となっています。例えば、端末の大部分がすでにアプリを実行していることが判明した場合、ワンクリックでそれをブループリントに追加し、セルフサービス化できます。また、セットアップ中に設定に関する質問に答える際、ドキュメントをくまなく調べるよりも迅速に対応できます。
「日常的な業務に使えますし、何でも質問できます。『AIを搭載しています』と言いたいだけの機能ではありません。きちんと役に立っています。」
Alojz Kvočićセキュリティ&インフラストラクチャ責任者、Tradelocker
成果
アロイズが入社してから約3ヶ月で、TradeLockerはセキュリティ機能が皆無の状態から、全デバイスにわたり徹底され、可視化された基準を確立しました。具体的には、暗号化の有効化、パスワードポリシーの適用、すべてのデバイスの自動パッチ適用、そして重大な脆弱性がほぼリアルタイムでSlackに通知されるようになりました。
「デモ段階から本番環境への移行は、非常にスムーズで短期間で完了しました。デモの段階でテストと設定をすべて済ませていましたし、その間ずっとIruのチームと毎週ミーティングを行っていました。本番環境に切り替えたときには、もう完了している状態でした。」
Alojz Kvočićセキュリティ&インフラストラクチャ責任者、Tradelocker
ボヤンにとって、その結論は単純明快だ。
「優れたツールは数多くありますが、TradeLockerが求める要件をすべて満たしてくれたのは、私が見つけた中ではIruだけでした。」
Bojan Dunkicシステム管理者、Tradelocker
今後の展望
コンプライアンスへの取り組みは次の段階であり、意図的に予定より前倒しで進められています。 TradeLocker は ISO 27001 の認証取得日を設定していません。その代わりに、チームは監査がすでに予約されているかのように業務を行い、コンプライアンス・モジュールにさらに多くの情報源を接続して証拠を蓄積しています。そうすることで、正式な準備が始まった時点で、その大部分がすでに完了している状態にするためです。 アロイス氏は、まだまだ成長の余地が十分にあると考えています。
「Iruのコンプライアンス機能でできることのうち、私たちはまだ表面をなぞった程度、おそらく5%ほどしか活用できていないと思います。」
Alojz Kvočićセキュリティ&インフラストラクチャ責任者、Tradelocker
TradeLockerについて
TradeLockerは、トレーディングの中枢となることを目指して構築された取引プラットフォームです。トレーダーが必要とするチャート機能、約定機能、各種ツールを1つの場所に集約した統合プラットフォームです。数百万人のトレーダーのニーズに基づいて設計されたTradeLockerは、世界中のブローカーと提携しており、チームは主にクロアチアのザグレブを拠点としています。