エコシステム全体のデジタル トランスフォーメーションを保護するManpowerGroup

VPNの再考：わずか18日でリモートアクセスを近代化させたManpowerGroup

プライベート アプリケーションへの安全なアクセスを30,000人の従業員に拡張

COVID-19のパンデミック当時、多くの企業が急速な変化を迫られていました。従業員がリモートで生産性を維持できるようにすることは簡単ではありません。リモート オフィスの立ち上げ、デバイス環境(組織の管理端末またはBYOD)の提供、柔軟な勤務スケジュールの許可、データやアプリケーションへの安全なアクセスの提供など、さまざまな課題が伴います。

従来、組織のIT部門はリモート ワーカー向けに仮想プライベート ネットワーク(VPN)を利用していました。パンデミック以前、一般的にリモート ワーカーの数は全従業員のごく一部に限られており、通常、多数のユーザーが同時にログインすることもなかったためです。

このモデルでは、リモート デバイスはVPNを介して企業ネットワークに接続されます。通常、接続先のアプリケーションは組織のデータ センターに置かれており、トラフィックはユーザーの接続元の場所からこのデータ センターでホストされるインバウンド ゲートウェイにバックホールされます。パンデミックの発生に伴い多くの従業員が在宅勤務を始めるなか、IT部門はVPNのシート数を増やすことで迅速な拡張を試み、その過程で予算を大幅に増額しました。

しかし、多くの企業がこのアプローチにはいくつかの問題があることに気付きます。1つ目はユーザー視点の問題です。リモート ユーザーからデータ センターにトラフィックをバックホールすると、多くの場合、複雑さ(接続の切断や繰り返しのログインなど)やレイテンシーの問題が発生します。結果的に、ユーザーはVPNを回避するようになり、VPNを展開する本来の目的が達成できなくなります。もう1つはITの運用視点の問題です。サイバー攻撃に対する脆弱性の発生を防ぐために、VPNアプライアンスには頻繁な管理作業やパッチ適用が求められます。最近では、VPNのセキュリティ ホールやバグが多数報告されており、そのうちの1件では800,000台を超えるアプライアンスの更新とパッチ適用が必要となりました。VPNアプライアンスは組織の攻撃対象領域の拡大につながることが知られており、数が多いほどリスクは高まります。

パンデミックが始まって以来、サイバー攻撃は全般的に増加しており、VPNへの攻撃も同様に増加しています。非常に多くの人々が自分や家族の安全を守るための情報を求めているなか、攻撃者はこの機会を狙ってリンクやアプリケーションにマルウェアを仕込み、Windowsサーバーの悪用、リモート コードの悪用、ソーシャル エンジニアリング、ランサムウェアなどの攻撃を仕掛けています。そして、リモート ワークやVPNに慣れていない従業員がVPNを悪用した攻撃の被害に遭っています。たとえば、Twitterの従業員がだまされてVPNの資格情報を提供してしまったケースもあります。同社はVPNの使用に関して複数の問題を抱えていたため、資格情報を求めるリクエストはユーザーにとって特段不自然なものに映らなかったのです。

異なるアプローチを採用したManpowerGroup

このパンデミックをきっかけに、多くの企業が長期にわたって有効なパンデミックに強い安全なソリューションの検討を始めました。ManpowerGroupもその1社です。同社が従業員に安全なアクセスを提供し、リモート ワークに迅速に適応できた理由について、ManpowerGroupのCISO兼CPOであるRandy Herold氏にお話を伺いました。

ManpowerGroupは、革新的な人材ソリューションを提供する世界的リーダーとして、幅広い職種や業界にわたって人々とやりがいのある仕事を結び合わせています。同社はすでにデジタル トランスフォーメーションの取り組みを進めていましたが、Randy氏と担当部門は「ニュー ノーマル」に対応するためにその取り組みを加速させる必要があると考えました。Randy氏によれば、全従業員のリモート ワーク環境を至急確保する必要があったため、直ちに意思決定がなされ、従来のアプローチでは展開に18か月かかるシステムが18日間で実装されました。

従来ManpowerGroupでは、リモート勤務の従業員にVPNを使用していましたが、リモート ワーカーの割合は全体のごく一部にすぎませんでした。しかし、世界中の従業員がさまざまなVPNプロトコルを使用するようになれば、サイバー攻撃を防ぐためにセキュリティ パッチを常に適用しなければなりません。Randy氏は、このようなセキュリティ対策の導入を「運用の悪夢」と表現しています。Randy氏と担当部門は、世界中の30,000人以上の従業員にそれまで以上のユーザー エクスペリエンスを提供できる統合ソリューションを求めました。

クラウド中心の環境を目指すなかで、同社はZscaler Private Access (ZPA)を導入し、単一のルールセットでマルチクラウド環境をサポートできる体制を整えました。この決定により、従業員がアクセスするソリューションがクラウドでもオンプレミスでも、セキュリティ対策が機能するという柔軟性と安心感が得られました。

ManpowerGroupがZPAを活用してリモート ワークに完全移行した方法と、ZPAが導入後にもたらしたビジネス価値については、以下の関連リソースでもご確認いただけます。