株式会社タイミー様 Okta導入支援サービスEIAM（企業向けID認証）事例

急成長で顕在化したID管理の課題

急成長する中で、タイミーでは大きな課題が顕在化していた。スピードを武器に事業を拡大する一方で、管理の仕組みが追いつかなくなり始めていたのである。

「2019年には38名だった社員数が、2024年には1,224名になっていました。実に5年で32倍になったわけです。そこで問題になったのがIDの管理でした。」

タイミーは創業当時からオンプレミスのサーバーを社内に持たず、全てのシステムをSaaSで管理している。同社にとって、IDは業務そのものを支える存在とも言える。その管理が揺らげば、利便性だけでなくセキュリティにも直結するリスクとなる。

「セキュリティインシデントが増加する中で、従来のVPNなどによる境界防御に限界を感じていました。どこからアクセスしても安全であることを前提にするのではなく、ユーザーやデバイス単位で信頼性を検証する、ゼロトラストでの防御にシフトしていくことになりました。」

ゼロトラスト構築の最優先事項はIdP導入

ゼロトラストの体制を構築するにあたり、最優先となったのがID管理だ。タイミーでは、その中核を担う仕組みとしてIdentity Provider（以下、IdP）を導入することになった。以前より、社員の端末管理にMDMや、エンドポイントセキュリティ対策としてEDRを導入していたが、急速な組織拡大の中で運用が追いつかず、リスクになりかねない状態だった。IdPの導入は、認証基盤を再設計し、分散した管理を一元化するための打ち手でもあった。

IdPを選定する際の要件については、現実の運用に耐えうるかが重視された。

さらに、同社特有の要件もあった。オンプレミスを持たない構成ゆえに、自社で証明書を発行・管理することができない。そのため、「IdP側で認証局を持っていること」も不可欠な条件だったという。こうした要件をもとに複数のベンダーを比較・検証した結果、すべてを満たしたのはOktaのみだった。

ラックの選定理由と導入の難所

そこでOkta社に導入支援が可能なベンダーについて相談し、候補となる数社を紹介された。選定にあたって重視したのは、有事を前提にした対応力だ。ゼロトラストを導入しても、セキュリティインシデントは起こり得るという前提に立ち、セキュリティベンダーであることを最優先条件とした。加えて、日本企業であることも重要な要件だった。

「そうした条件で絞るとラックが残りました。実は私、前職でのつながりもあり、ラックの知見や技術力を肌で感じていたので、一番信頼がおける企業としてお願いしました。これは運命ですね、きっと。」

導入はコーポレートITの中でのプロジェクトとして進められ、小池氏がリーダーを務めた。選定はスムーズだったものの、導入では設計と配布の2つの段階で苦労があったという。

まず設計では、何をデータのマスターにするのかという問題があった。創業からの急成長により、データは複数システムに分散し、完全なマスターが存在しない状態だった。人事労務的なデータをそのまま流用できず、断片的な情報を突き合わせながら統合していく必要があったという。さらに、権限設計やグルーピングも一筋縄ではいかず、ラックの助言を受けながら何度も見直しを重ねた。この設計フェーズが、結果として最も時間を要した。

配布の段階では、2つの課題があった。1つは、OktaではMDMを活用して証明書を配布するが、配布対象となるサービスの整理が不十分で、事前の統制から手を付ける必要があった。そしてもう1つはシステムの浸透だった。「配布するので対応をお願いします」と周知しても、約30名が対応しないまま残った。「理由を聞くと、やり方が分からないのではなく、自分が対象だと思っていなかったというケースでした。最後の敵は急激な組織拡大ゆえのコミュニケーションの難しさ=当事者意識の醸成でした。」

最終的に未対応者に対し、セキュリティ品質を一律に担保するためやむなくシステムへのアクセス一時停止をするなど、毅然としたガバナンス対応を実施し完了させた。技術的な課題だけでなく、人の行動や認識も含めて乗り越えて導入は完了したが、スケジュールは当初想定より約1か月の遅延となった。

導入効果とゼロトラスト運用への手応え

導入後約1年が経過しているが、運用は引き続きコーポレートITグループが担当している。

導入後の効果として最も大きかったのは、「IdPがあることを社内に宣言できたこと。そして社員がそれを認識して動いてくれるようになったこと」だという。また、SSOの実現や、グルーピングの効率化といった機能面のメリットもあるが、一方で既存IDとの差分吸収など、運用の手間が劇的に減ったわけではないという現実もある。

ユーザー側の体験も変わった。生体認証に対応したことで指紋や顔でログインできるようになり、日常的なストレスが軽減された。一方で、パスワードを覚える必要がなくなったことで、生体認証ができなかったときの復旧は難しくなった。ただし、端末認証やSASE製品と組み合わせることで、社用端末以外からのアクセスを遮断できており、この点については「安心感がまったく違う」と小池氏は強調する。

また、エンジニアからSSOなどの活用に関する相談が増えたことも、副次的な効果だった。個別に散在していた認証や管理の課題が、IdPを軸に統制できるようになり、部門をまたいだコミュニケーションが生まれている。「結果として、管理と開発の間にシナジーが生まれたと感じています。」

運用する上で必要な機能に大きな不足はないものの、今後の拡張としてはEDRに加え、SASEとの連携に期待を寄せる。デバイスの状態に応じてアクセスを制御する仕組みに、ネットワーク側の要件も組み込めれば、ゼロトラストの実効性はさらに高まるという見立てだ。

一方で、導入時にお試しで組み込んだワークフロー機能は、今になって活用が進んでいる。「結果的に非常に助かっています。」と小池氏は評価する。また可用性の高さも大きな安心材料だ。日常的な問い合わせはあるものの、基盤そのものが止まることはなく、認証基盤としての信頼性は高い水準で維持されている。ゼロトラストの中核を担うプラットフォームとして、安定性は運用の質を大きく左右する。

伴走支援で定着させるゼロトラスト、次は検知と対応へ

ラックの支援について小池氏は、「権限設計の初期フェーズでは試行錯誤がありましたが、それ以外は非常にスムーズでした。」と振り返る。テスト工程の伴走や、保守フェーズにおけるOkta社との定例会議への同席など、導入後も継続的な支援が提供されている点を評価する。「サポート窓口はOkta社とラックの双方にありますが、リファレンスが充実しているため、多くは社内で自己解決できています。」外部ベンダーに依存しすぎない運用が実現できている点も、大きな安心材料となっている。

ゼロトラスト基盤の導入を振り返り、小池氏は今回の取り組みの意義をこう語る。「セキュリティを強固にするだけでなく、生体認証によって社員の日常のわずらわしさを無くすことができました。これこそが自社が掲げる『一人ひとりの時間を豊かに』というビジョンを、コーポレートITの側面から体現した形だと考えています。」

今後は、ワークフロー活用による運用効率化や、グループ会社への統制拡大を推進していく構えだ。「今が完成形とは思っていません。より安心・安全な環境を目指し、継続的にブラッシュアップしていきます。」と小池氏は語る。

この先のロードマップの1つにセキュリティ監視・対応体制のさらなる高度化がある。同社では現在もプロダクトとコーポレートのセキュリティチームが連動し、日々の検知・インシデント対応体制を稼働させている。今後は事業の急成長や脅威の高度化を見据え、SIEMの導入などを通じて、この監視体制をより高度で専門的なSOCへと機能強化していく方針だ。「現状の監視・対応体制から更に一段上のフェーズへ引き上げるため、内製化の範囲や既存チームとの役割分担も含めて、最適なSOC体制の設計を進めているところです。」と語る小池氏。

Oktaによって安全かつ利便性の高い認証基盤を整えた同社は、今後も予防だけでなく検知・対応力まで含めたセキュリティの実効性を高め、「はたらく」を支えるインフラの安定的な成長を支えていく考えだ。

導入事例のダウンロードはこちらから

PDF版ダウンロード（294.2KB）

お客様プロフィール

株式会社タイミー様

株式会社タイミー(Timee, Inc.)｜今日のバイトがすぐ見つかるスキマバイトタイミー（Timee）コーポレートサイト