簡単・低コストで実現する高強度の本人特定ソリューション CA認証強化ソリューション導入事例ユーザ操作性とセキュリティ強度を両立 SCSK株式会社 CA 認証強化ソリューションベースのクラウド型認証サービス構築で SaaS ビジネスチャンスが大きく伸展ユーザの操作性を重視危険性に応じてセキュリティ強度を上げる CA CloudMinder の認証強化機能を選択 IT に関わるフルラインナップサービスを提供、ビジネス SCSK 株式会社理事プラットフォームソリューション事業部門 IT エンジニアリング事業本部長補佐新規事業開発室長藤森覚氏の価値創造とグローバル展開をサポートする SCSK 株式会社では、SaaS ビジネスを展開するにあたって、顧客が懸念するセキュリティ機能の実装に注力することになった。当初は自社開発路線で進めたが、サービス原価抑制の観点から製品調査を開始。ユーザビリティを重視するにはリスクベース認証機能も不可欠という要件を掲げ、唯一その機能 SCSK 株式会社を搭載していた CA CloudMinder を採用。プラットフォームソリューション事業部門 IT エンジニアリング事業本部エンジニアリングサービス部 IT コンストラクト課長代理同社は CA CloudMinder をベースに CLIP IAS という名称神園武宏氏の認証基盤として採用されるなど SI を伴うビジネスにものクラウド型認証サービスを迅速に立ち上げ、SaaS アプリケーション導入の呼び水としている。さらには、企業内発展し、CA CloudMinder を中核とする CLIP IAS が同社の商談規模を拡大する糸口となっている。 SaaS ビジネスで高強度のセキュリティ実装を模索で満たすべきセキュリティ要件として掲げていたものを全部備えていた製品でした。グローバルな金融機関での実績も高く“まさに、 SCSK 株式会社は 2011 年、住商情報システム株式会社と株式会これだ”と思いました。途中まで自社で開発プロジェクトを進めま社 CSK の企業統合により誕生したシステムインテグレータだ。日したが、Arcot が見つかった時点で、それ以上、時間や工数をかけ常生活やビジネス環境が瞬く間に変化する激動の世の中にあって、る必要はないと判断しました」「夢ある未来を、共に創る」を経営理念に掲げる。IT に関わるフル同社は、リスクベース認証以外にも、Arcot が初回のユーザ登録ラインナップサービスを全社を挙げて推進するとともに、ビジネスからパスワード再発行までユーザ側で手続きが行え、運用プロセの価値創造とグローバル展開をサポートしている。スにおいて管理者を煩わせないという点も高く評価。総合的に同 SCSK がクラウド事業を展開するにあたり、見込み顧客から必ず社の SaaS ビジネスの付加価値を高めるセキュリティ技術になると質問されるのがセキュリティ対策だった。従来も、提供アプリケーいう判断が下せたという。ション自体に ID・パスワード管理のようなセキュリティ機能は組みまた、同社の SaaS 基盤で OEM として活用するため、システム込まれているのだが、企業の求めるセキュリティレベルは常にそれインテグレーションやライセンス価格を詳細に調整する必要があっ以上だった。たが、当時、開発・運用を担っていた Arcot 社は柔軟な対応を示そのため、システムインテグレータである同社は、見込み顧客した。パートナーとして信頼を置けたことも採用を決定した大きなからの要望に応えるべく高レベルのセキュリティ機能を自社開発し要因だったようだ。始めた。しかし、実際に着手してみると、プロジェクトは工数、コ競争力を発揮するため、月額定額制のリーズナブルな価格で提供 Arcot ベースの CLIP IAS 展開で SaaS ビジネスが軌道にするのが身上である。そのまま突き進めば、セキュリティ機能の開 2010 年 2 月に正式に契約を締結、ただちに導入プロセスに入り、発コストがサービス原価を押し上げてしまい、提供価格に反映さ 4 月には早くも報道発表を行い、6 月より予定どおり本稼働に入っせざるを得なくなる危険性があった。そこで、あらためて市場に存た。意思決定から市場投入までが非常に短期間だったが、Arcot 在するセキュリティ製品を調査することになった。社と良好な関係を構築でき、SCSK 側のキャッチアップが早かったストとともに予想以上に大がかりなものになっていった。SaaS は、ユーザビリティを尊重、リスクベース認証機能搭載の Arcot を選択こともあり、システムインテグレーションは順調に進み、最初に立てた計画どおり本稼働を果たすことができた。 SCSK の SaaS ビジネスにおいて、Arcot は CLIP IAS という名称製品の選定は自社開発プロジェクトで掲げた要件定義を参考にで提供されている。高強度の多要素認証を実現するクラウド型認進めた。最も重視したのは、市場の製品がリスクベース認証機能証サービスとして、同社がクラウド基盤で提供する Google Apps を有しているかということだった。や Salesforce などのアプリケーションに標準対応させた。リスクベース認証とは、一般的な ID/ パスワード認証を強化する特徴としては、PKI（Public Key Infrastructure）と同等レベル以ために付加される認証技術である。ユーザのアクセス履歴や接続上の暗号認証に加え、秘密の質問やワンタイムパスワードによる IP アドレス、PC や Web ブラウザの設定状態など、複数の要素か多要素認証を実施しながら、ユーザ操作性はこれまでの使い慣れら不正アクセスの可能性を判断し、もし疑わしい場合は、追加でた ID・パスワード入力と変わらないという利点を持つ。しかし、ユー別の認証手段を用いてあらためてユーザの認証を行うなどリスクレザの振る舞いをもとにリスクを評価し、疑わしいとなればより正確ベルに応じた対応を可能とするというものである。に本人確認を行う認証機構を提供する。たとえば、アクセス元の地理的環境の急激な変化、アクセスにまた、ユーザや認証用デバイスの管理を、導入企業で負担する利用する端末の環境の変化などといった場合に、その危険性を定必要がないのも大きな利点だ。ユーザ管理は SaaS 基盤上でユー量的に計算、閾値を超えたら追加認証を実施するというものだ。ザが自ら行える上、ワンタイムパスワードもハードウェアトークンこのリスクベース認証機能の搭載を重視した背景を、SCSK 株式は必要なく、100 ％ソフトウェアベースで行える。会社プラットフォームソリューション事業部門 IT エンジニアリングさらに、認証サーバは SAS70 Type Ⅰ、Ⅱ、PCIDSS 準拠のデー事業本部エンジニアリングサービス部 IT コンストラクト課長代理タセンタで運用されているため、高度なセキュリティが必要な企業神園武宏氏は以下のように語る。であっても安心して導入できる。SLA（Service Level Agreement）に「セキュリティは厳密であるに越したことはありませんが、厳しすよるシステム稼働率の保障も行っており、数百万ユーザ単位の大規ぎると利便性を大きく損います。SaaS サービスに付加するにあたっ模運用も可能だ。そして、これが何より重要なのだが、料金プランては、ユーザの操作性を重視したいと考えていました。がリーズナブルで、契約期間は 1 年からと、中堅中小企業のユーザ “これは怪しい”といえる不審なアクセスに対しては、その疑い数の少ない顧客も気軽に利用できるよう配慮されている。の程度に応じてセキュリティ強度を上げる。これが一番理にかなっクラウドを活用する際に企業が最も懸念するセキュリティ、そのていると考え、そういう機能を実装できるか、検討しました」不安を払拭するサービスとあって、引き合いは高かった。報道発そうした前提から、候補になりうる製品を 2、3 抽出し、技術検表の直後から多くの問い合わせが寄せられ、6 月の本稼働を待た証を行った。しかし、同社が定義したリスクベース認証機能を要件ずに導入に踏み切った企業もある。どおり備えたセキュリティ製品は Arcot だけだった。SCSK 株式会社近年、オフィスでインフラ的に利用するアプリケーションを社内理事プラットフォームソリューション事業部門 IT エンジニアリングリソースで運用する必要はないと考える企業は多くなっており、ま事業本部長補佐新規事業開発室長藤森覚氏は、Arcot に着目したさにそうしたニーズを同社の SaaS サービスは受け止めている形だ。理由を次のように語る。グローバル展開を目指す企業からの引き合いも多くサービス開始「まさに運命的な出会いだったと思います。自社開発を進める中当初、なかには認証サーバの物理的拠点が海外であることを気にかける声があったものの、その中核である Arcot がグローバルなウドサービスとして手軽に利用するというよりは、企業の情報シス金融機関で利用されている実績を紹介すると先方の納得が得られテム環境に合わせたシステムインテグレーションが重要になってくるケースが多いという。る。SCSK にとってシステムインテグレーションは本業である。こう企業情報システムの大きなエコシステムの中で CLIP IAS が貢献した要望は望むところで、つまり、Arcot を中核とする CLIP IAS が同社の商談規模を拡大する糸口になっているのだ。「当初は、CLIP IAS を付加価値向上のための道具立てと考えて SaaS アプリケーションの付加価値を高める認証サービスといいましたが、スマートフォン、タブレット PC の登場以来、こちらがう位置づけでスタートした CLIP IAS だったが、2011 年に入って主役級の注目を集めるようになってきました。 CLIP IAS 単独での使用への問い合わせが増えてきた。理由はスマーまた、IT 業界で展開する数々のクラウドサービスと企業情報シトフォンやタブレット PC のビジネス活用気運の盛り上がりだ。ビステム、その相互が分かちがたく結ばれて構成される大きなエコジネスの最前線にいる企業は、こうした可搬性、利便性の高いモシステムの中で、CLIP IAS のようなセキュリティ機能を持つサービバイルデバイスを積極的に使いこなしたいと考えている。情報収集、スに対するニーズが高まり、果たせる役割もどんどん大きくなって情報取得の機会が大きく広がり、それによってビジネスチャンス、いるのかなと思います」（藤森氏）ビジネススピードが上げられるからだ。 Arcot 社から CA Arcot になって広がったしかし、その一方で、企業情報システムの開発・運用に責任を持ビジネスチャンスつ IT 部門にとって、スマートフォンやタブレット PC は悩ましい存 2011 年、Arcot のポテンシャルの高さに着目した CA 在になっている。インターネットを閲覧するぐらいならまだしも、 Technologies が Arcot 社を取得、製品は CA CloudMinder Strong そうした外部で容易に利用できるデバイスから機密性の高い情報 Authentication として提供されることになった。当初、SCSK はテを保持している企業システムへのアクセスを許すと、セキュリティクノロジサポートや製品提供の体制が激変するのではないかと危強度が落ちると懸念するためである。デバイスの有効性は明らか惧したという。しかし、ふたを開けてみると、どちらも大きく変わであるため、そこが IT 部門にとって大きな葛藤になっていたのだることはなかった。以前と同様、従来からいる米国の Arcot スタッが、CLIP IAS を活用することによって直面していた壁を乗り越えフとコミュニケーションを取ることができ、CA Technologies もまられるというわけだ。た、Arcot 導入の先輩である同社を尊重するとともに、単なる製 SaaS を提供する事業者は年々増加している。彼らは独自にサー品のベンダーにとどまることなく、積極的に市場の創造、発展をビス拠点を構築し、セキュリティも備えているのだが、顧客は数多 SCSK と取り組んでいくことを約束した。くの選択肢の中から自社に合ったセキュリティ機能を選びたいと考実際、提供元が CA Technologies に変わったことによって、ビジえている。そのような際に顧客に提示できるメニューの 1 つとしてネスチャンスが広がったと SCSK は感じている。 CLIP IAS をラインナップしておきたいという声が高いのだ。また、CA Technologies が顧客企業から寄せられる認証基盤さらに、企業内で運用している認証基盤を CLIP IAS と連携させ関連のさまざまな相談を、SCSK をパートナーとして協議するたい、認証基盤そのものを CLIP IAS で統一したい、といった相談機会も増えており、同社にとってチャネルが拡大した格好だ。も少なからず寄せられるようになってきた。このような場合、クラ Arcot 導入の先駆者で、技術的にも一日の長があることから、CA 図 1 システム構成図クラウドサービス Google Apps salesforce.com など ④ 認証が済んだら、クラウド側にリダイレクト。ユーザがアクセスできる CLIP IAS ② CLIP IASにリダイレクトする ① プライベートキーを保存した端末で、クラウドサービスにアクセス ③ ユーザが CLIP IASの ID/PWを入力すると、キーが送信される企業社内Web アプリケーション簡単・低コストで実現する高強度の本人特定ソリューション CA認証強化ソリューション Technologies とのパートナーシップが日増しに密接なものになってド型認証サービスで実現可能なセキュリティサービスも増やしている。いく。実際、東日本大震災発生以降、企業が BCP に注力を入れ始め、在宅勤務を視野に入れた SSL-VPN 構築ニーズが高まって今後は SaaS メニュー、セキュリティサービスの品揃え拡大に注力いる。そこで確たる認証を行う手段として CLIP IAS が注目されており、同社も力を入れていく予定だ。その担い手の一員として CA 今後、同社は CLIP IAS を持つ強みを生かしながら、連携する CloudMinder ベースの CLIP IAS の活躍に期待が集まっている。 SaaS アプリケーションメニューを拡大するとともに、このクラウ企業プロフィール SCSK 株式会社産業システム事業、金融システム事業、グローバルシステム事業、ソリューション・機能事業、ビジネスサービス事業、IT マネジメント事業、プラットフォームソリューション事業の 7 事業、またこれらのセグメントの連携により包括的な IT サービスを提供するシステムインテグレータ。長年の経験やノウハウ、豊富な実績をもとに、IT インフラからアプリケーション開発、さらには BPO までワンストップで顧客に最適なサービスを提供する。 CA Technologies お問い合わせ〒 102-0093 東京都千代田区平河町 2-7-9 JA 共済ビル 9F お問い合わせ窓口： CA ジャパン・ダイレクト 0120-702-600 W E B サイト： www.ca.com/jp ※記載事項は変更になる場合がございます。すべての製品名、サービス名、会社名およびロゴは、各社の商標、または登録商標です。製品の仕様・性能は予告なく変更する場合がありますので、ご了承ください。 © 2012 CA and / or one of its subsidiaries. All Rights Reserved. 2012 年 8 月現在 Printed in JAPAN