IntelyCare

SaaS 型ヘルスケアテクノロジーのイノベーター企業は、リスク修正と最小権限の自動化に Tenable Cloud Security をどう利用しているか

課題

クラウドネイティブなヘルスケアテクノロジーを扱う企業である IntelyCare は、複数の AWS アカウントにわたって事業の展開と運営を行っています。 近年、顧客やユーザーの基盤と、ヘルスケアデータの使用とが大幅に拡大したため、同社のクラウドプラットフォームは攻撃者に対して脆弱になっています。

「当社の遠隔ケア担当従業員は機密データ、すなわち患者の新型コロナウイルス検査、予防接種、診療の記録などの保護された個人情報をアップロードします。そのため、当社はアイデンティティ窃盗犯の主要な標的になっています」(IntelyCare の情報セキュリティ担当ディレクター Larry Viviano 氏)

Viviano 氏はクラウドインフラ保護についての明確なビジョンを持っていたので、Center for Internet Security (CIS) ベンチマークに合致させることから始めました。 「CIS でまず問われることの 1 つは、ソフトウェアとハードウェアのインベントリです」 このニーズに対応するために、Viviano 氏は複雑なクラウド環境内のインベントリのすべてのコンポーネントの可視化を試みたほか、 リスク緩和の自動化も目指すことにしました。 「私にとっての重要事項は自動化でした。 小規模なセキュリティチームで多くのことをやろうしているので、複数のツールを活用して人員を補完し、生産性を上げています」

それにもかかわらず、「何年にもわたり、実際にはできないことをできると謳う自動化ツールや、本番環境を破壊する自動化ツールのせいでひどい目にあってきました。 おかげでセキュリティ担当者は、セキュリティによってシステムが壊されることを望まない DevOps 担当者からいわれのない非難を受けています」と Viviano 氏は語りました。 目標を実現するために、Viviano 氏はクラウドセキュリティのステークホルダーに参加してもらって信頼を得たいと考えました。

ソリューション

「(Tenable Cloud Security には) 前の会社に勤めていたときから注目しており、一般的には DevOps、エンジニアリングやインフラの担当者しか見ていなかったアクセス権限と特権について可視性を提供してくれると知っていました。(Tenable によって) 詳細な可視性を得たのに加えて、どのように彼らの仕事を減らせるのかをステークホルダーに示すことができました。最初のユースケースでしたが、当社を受け持った皆さんは大成功を収めたのです」(Viviano 氏の回想)

IntelyCare のセキュリティチームは、ステージング環境の 1 つで Tenable Cloud Security の導入を開始して、このプラットフォームが深刻度によって優先順位付けした最大のリスクに集中して取り組みました。「(Tenable は) リスクを特定して、それに対して何をするべきかを教えてくれます。この規範的なアプローチは、数多くの異なるグループにやるべきことを説明するために非常に役立っています」と Viviano 氏は述べています。「私たちはセキュリティに対する信頼を確立し、AWS リスク問題のいくつかについて修正を始めましょう、と言えるところまで来ました。 (Tenable Cloud Security を) 使用することで、IAM ユーザーについて、次いでサービスについて、過剰な特権を持つ設定をすべて削除することができました。できる限りのすべての自動修正を 2 か月間で行いました。 これによって何かが破壊されることはなかったので、この勢いのまま低い重大度に向かって作業を進め、さらに多くのリスクを排除できました」

「セキュリティ担当者は AWS をこのようなレベルでは使用しないため、私たちは簡単に実行できる明確な修正プレイブックを関係者に渡すためのコラボレーションツールとして (Tenable を) 使用しています。 (Tenable Cloud Security で) セキュリティチケットを作成して、Jira のワークフローに割り当てれば、あっという間に完了です」と同氏は付言しました。

Tenable Cloud Security のプラットフォームは IntelyCare のセキュリティ戦略を支えています。 「当社は CIS ベンチマークへの準拠を維持する必要があります。 そのために (Tenable は) 役立っており、クラウドアイデンティティを知る手段を提供してくれるだけでなく、ベンチマークに影響するため修正が求められている設定ミスに関するインサイトを提供し、さらに修正にも使用できるのです」と Viviano 氏は述べました。 IntelyCare は最近、CIS ベンチマークに関する取り組みの一環として、Tenable が追跡する数多くのリスク要因の 1 つである多要素認証の使用も開始しました。

現在、IntelyCare は Tenable Cloud Security の導入を Kubernetes 環境と本番環境を含むすべての AWS 環境に拡大しているところです。 「(Tenable Cloud Security は) AWS 環境がどのように使用されているか知るための鍵となります。 これに代わる手段は、例えば DevOps チームに仮想マシンのリストをもらい、リスクや保護の方法を明らかにするといった、手作業に非常に頼ったものになるでしょう」と Viviano 氏は 説明し、 「Tenable Cloud Security を使えば数分以内に表示や実行が可能な作業は、セキュリティ担当者が実施すると 2 ～ 3 か月かかるでしょう。 率直に言えば、こうした作業を自動化できることと、スナップショットの可視性が得られることが、(Tenable への) 投資の見返りだと考えています」と付言しました。

「次は (Tenable Cloud Security の) 推奨ポリシーを使い始める予定です。 当社は最小権限を本当に必要としており、(Tenable は) その実現に役立つでしょう。(Tenable は) 当社が使用している他のクラウドセキュリティソリューションが対応できないユースケースに対処できます。可視性を提供し、セキュリティチームが信頼を得て DevOps チームやその他のチームと協力関係を築けるようにして、アイデンティティリスクを軽減します。これこそが、当社のセキュリティ目標達成を成功させる方法です」(Viviano 氏の結論)