Asanaは機密性の高い認証情報や顧客データを保護するために1Passwordを実装

不正アクセスの試みをすべてブロック

1Passwordを1日で導入

Asanaの全従業員が既知の安全なデバイスを使用するように

成果

• 基本的なデバイスセキュリティから機密システム全体への完全な強制適用へと移行しましたが、ヘルプデスクチームの業務量や従業員の生産性には影響を与えることなく実現しました。

• すべての認証が承認され準拠したデバイスから行われることを保証します。

• Asanaの企業や政府のクライアントから要望のあったセキュリティレビューと要件の簡略化を実現しました。

• 退職する従業員の個人デバイスへのアクセスを取り消すことで、オフボーディングプロセスを強化しました。

• 生産性を保ちながら、シンプルな導入方法で安全なアクセスを実現し、エンジニアリングチームにも好評を得た。

理想的なセキュリティツールとは、ユーザーに影響を与えず、IT部門が管理しやすく、本来の機能を果たすものです。1Passwordはそれらの要件を満たしています。

Johan Dowdy
Global Head of IT and IT Security at Asana

課題

Asanaは「Work for Action」として、人間とAIが協力して個人がより賢く働き、チームがより速く動き、組織が成果を出せるよう支援します。世界中に1,700人の従業員を抱えるAsanaは、機密システムへのアクセスが許可され、規制に準拠したデバイスからのみ行われるようにしながら、認証情報を管理および共有する安全な方法を必要としていました。

Asanaは2019年から1Password Enterprise Password Managerを使用しており、2024年にはゼロトラストのセキュリティ環境を確立するという目標を前進させるために1Password Device Trustを追加しました。ITとITセキュリティのグローバル責任者であるJohan Dowdy氏は、いくつかの重要な課題に対処するためのゼロトラストセキュリティ環境を確立するという目標を推進するために1Passwordを選びました。

• 認証情報管理。Asanaには、分散しているチーム間で認証情報を保護し共有するための1つの安全な場所が必要でした。

• デバイスのコンプライアンス。会社は、許容使用ポリシー（AUP）への準拠を確認し、従業員が認可されたデバイスからのみシステムにアクセスすることを確保する方法を必要としていました。

• 規制要件と企業要件。FedRAMPや企業顧客の要求など、コンプライアンスへの期待が高まる中、より強力で検証可能なデバイスとアイデンティティのセキュリティ態勢管理が求められるようになりました。

• ゼロトラストのエントリーポイント。同社は、大規模で複雑なツール導入による混乱を避けながら、ゼロトラストセキュリティへの実用的なエントリーポイントを必要としていました。

ゼロトラストへの道のりで混乱ではなく進歩を選択

同氏の目標は、より強固なセキュリティ態勢を実現するために、Asanaにゼロトラストのネットワークアーキテクチャを実装することです。ゼロトラスト戦略は、コストがかかり、複雑で、複数年にわたる取り組みになり得るうえ、業務に支障をきたすこともあります。そこで同氏は実用的な多段階アプローチを取り、まずゼロトラストのパズルの中で最も重要な部分だと考えているエンドポイント、特にエンドユーザーデバイスの保護に焦点を当てました。「エンドポイントが安全であることを確実にし、エンドユーザーが信頼できるデバイスからのみ当社のシステムにログインしていることを把握する必要があります」と言います。

Dowdy氏が1Passwordを選んだ理由は2つあります。1つ目は、1Password Enterprise Password ManagerはすでにAsana内で信頼され、広く採用されているツールであったこと、2つ目は、1Password Device Trustが他のソリューションよりもはるかにシンプルで効果的な方法で信頼できないアクセスをブロックできることです。また、1Password Device Trustは、Asanaが選択したID・アクセス管理（IAM）プラットフォームであるOktaとのシームレスな統合も提供しました。

同氏にとって最も重要なのは、エンドユーザー体験が透明性が高く、摩擦が最小限で、ヘルプデスクの負担が極めて低いことです。デバイスや操作がポリシーに違反した場合、ユーザーにアクセス制限があることが明確に伝えられます。一方、1Passwordのきめ細かいオンボーディングとカスタマーサクセスサポートにより、従業員の迅速な導入とスムーズなロールアウトが可能になります。

当社が1Passwordを選んだ理由は、基本的なセキュリティ課題と高度なセキュリティ課題の両方に対して、効果的で使いやすいソリューションを提供してくれるからです。

Johan Dowdy
Global Head of IT and IT Security at Asana

ゼロトラストを最も重要な場所であるエンドポイントから開始

1Password Device Trustは、AsanaのIDプロバイダーであるOktaと連携し、機密アプリケーションへのアクセスを許可する前にデバイスを確認します。確認により、ユーザーが管理された安全で信頼できる業務用ノートパソコンを使用していることが確認され、ゼロトラストセキュリティの基本原則が満たされます。

1Password Device Trustは、ITチームのオンボーディングプロセスへの信頼をさらに高めます。従業員のデバイスがDevice Trustで確認されると、通常のシングルサインオン（SSO）/Oktaフローに従い、1Password EPMのロックが解除されるか、AsanaがSSOで保護しているアプリへのアクセスが許可されます。

「このプロセスが完了すれば、従業員はそれ以上の対応をすることなく、普段通りの業務に戻ることができます」と同氏は説明します。「セキュリティツールは透明性を保つよう設計されており、ユーザーがOktaで認証するたびに画面が素早く点滅するだけです。」

エンドユーザーデバイスは当社にとって最も重要なエンドポイントです。ユーザーが信頼でき、検証可能なデバイスから当社のシステムにログインしていることを確認したいと考えています。1Password Device Trustはそれを可能にします。

Johan Dowdy
Global Head of IT and IT Security at Asana

混乱を最小限に抑えるため、同氏のチームは1Password Device Trustを体系的に導入し、新しいチェックやポリシーを段階的に導入しました。このアプローチは従業員への影響を最小限に抑えつつ、ゼロトラストセキュリティへの大きな一歩を達成しました。「利用規約に頼るだけでなく、ユーザーがプロトコルを遵守していることを真に検証できるようになりました」と同氏は述べています。

生産性とヘルプデスクの能力を維持しつつ、さらなる脅威をブロック

Asanaは1Password Enterprise Password Managerを使用して、チームでパスワードやAPIキー、サーバー管理認証情報などの機密情報を共有しています。このソリューションにより、Asanaはすべての認証情報を一つの安全な場所で保護することができます。これにより、本番システムへの鍵やサーバーへのログイン情報など、機密情報や重要なアクセス情報が、スプレッドシートのような安全性の低い形式で保存されることがなくなります。

1Password Device Trustの全面的な導入により、Asanaはデバイスのセキュリティ管理がほとんどない環境から、従業員全体で完全に管理が行き届いた環境へと移行しました。同氏のチームは現在、ユーザーの行動やデバイスへのアクセスパターンの可視化を含む、信頼できる監視機能を備えています。この可視性により、すべての認証が承認済みで準拠したデバイスから行われていることを確認できます。

その結果、Asanaは大部分のデバイスのサインインの安全を確保しました。Asanaエコシステムの全ユーザーが既知の準拠デバイスを持つこととなり、不正アクセスの試みはすべてブロックされます。Asanaは、MDM、CS Falcon Sensor、macOS/Windowsのアップデート、FileVault/ディスクの暗号化など、さまざまなチェックを実装しています。同社はまた、明確で検証可能な管理体制を確立し、企業顧客や政府機関顧客向けのセキュリティレビューにおいて、より良い結果を得ることに成功しました。

ゼロトラスト構築の最初のステップとして1Password Device Trustから始めると、導入がはるかに楽になります。数か月間このソリューションを実行してきましたが、今のところ苦情はありません。

Johan Dowdy
Global Head of IT and IT Security at Asana

Asanaはテクノロジーを迅速に導入し、その後、ビジネスニーズとユーザーの準備状況に基づいて段階的に適用を洗練させることができました。1Passwordはまた、ITチームにオフボーディングプロセスに対する自信を与えました。従業員は1Password Device Trustを初日から中断することなく使用し、個人のデバイスからのアクセスは雇用が終了するとすぐに削除されます。また、1Password Device Trustは、ITチームにさらなるセキュリティレイヤーを追加しました。突然退職した従業員が会社の認証情報をまだ持っていたとしても、信頼されていない個人用デバイスから会社のリソースにログインすることを即座に防げます。

これらはすべて、従業員体験への影響を最小限に抑えて達成されました。「1Passwordを使用することで、生産性の損失やエンジニアリングの抵抗を避けながら、重要なセキュリティアップグレードを実現しました」とDowdy氏は言います。

強力なエンドポイントの整合性に基づくレイヤー構造のゼロトラストアーキテクチャの構築

同氏は新しいゼロトラストネットワークアーキテクチャを徐々に構築する計画です。1Password Device Trustが導入され、デバイスが既知で健全であることが確認されるようになったことで、同氏はチームがビジネスをさらに安全にするのに必要な基盤を備えていると確信しています。

Asanaのゼロトラストセキュリティを拡大する中で、Dowdy氏は引き続き、混乱を最小限に抑え、導入率を最大化するために、実用的な「軽量」アプローチを取る予定です。

「人とテクノロジーが交わる領域で成功を収めるには、生産性を高めるために必要なデジタルアクセスを提供すると同時に、システムを安全かつ法令遵守の状態に維持する必要があります」と同氏は述べます。「私たちは1Passwordでそれを実現しています。」