The Arc of Ulster-Greene

状況

The Arc of Ulster-Greene は、ニューヨーク州のミッドハドソンおよびキャッツキル山地地域において、知的障害や発達障害の影響を受けている人々に多様なサービスを提供している非営利団体の一部です。この組織の小規模なテクノロジーチームは、100 か所に点在する 2,500 人の従業員にサービスを提供しながら、クラウドに取り組み、IT／ネットワーキングライフをシンプルにする IT ソリューションを使用していますが、組織はリモートユーザーが重要な医療記録アプリケーションにアクセスすることに懸念を抱いていました。

課題

HIPAA を遵守する組織でモビリティとリモートアクセスのセキュリティを確保するのは非常に難しいことです。The Arc of Ulster-Greene は、Citrix と Microsoft のリモート・デスクトップ・ソリューションを使用していましたが、IT スタッフは次に示すようないくつかの課題に直面していました。

• HIPAA 遵守の観点からセキュリティ体制を改善するために、アプリケーションアクセスのセキュリティレイヤーを追加する必要がありました。
• 従業員のモバイル化が進み、リモート・デスクトップ・ソリューションでは組織の要件に対応できなくなりました。
• 高可用性の要件を満たすためにはセカンダリサイトに簡単にフェイルオーバーできることが必要でしたが、この作業は非常に複雑であることがわかっていました。
• 既存のソリューションも、検討していたソリューションも複雑であり、インフラと人員の追加が必要でした。

The Arc of Ulster-Green の CIO、Bart Louwagie 氏は次のように述べています。「従業員が各自の PC を使って自宅で仕事ができるようにするためには、自宅を検査して実際に遵守状況を確認する必要があります。これは無視されがちですが、HIPAA に関連した大きな問題です。どこでも仕事ができるということは、どこでも（医療個人情報の）情報漏えいが起こりうるということです。物理的に制御することはできません」The Arc of Ulster-Greene の従業員のモビリティを促進するためには、IT 組織の俊敏性を高めることも必要です。「明日移動すると言われても現在は対応できませんが、対応できるようにすべきです」Louwagie 氏はそう補足します。

さらに、どのようなリモート・アクセス・ソリューションでも高可用性は不可欠です。The Arc of Ulster-Greene が災害時対応モードになった場合、従業員はリモートサイトからログインする必要があります。そのため、IT スタッフは既存のベンダーに可能なソリューションを問い合わせました。Louwagie 氏は次のように述べています。「災害時のリモートアクセスは、DNS フェイルバックソリューションを使用するか、または別の場所に移動するようにユーザーに通知する必要があるとのことで、いずれにしても複雑でした。ベンダーとともに概念実証を進めようとしましたが、私たちの環境では機能しなかったのです」

目標

The Arc of Ulster-Greene が目標を達成するためには、次に示す 3 つの主要な要件を満たす必要がありました。

• リモート・アクセス・ソリューションの提供に伴う負荷を軽減する
• 多要素認証を実装して、HIPAA 遵守の観点からセキュリティ体制を改善する
• 複雑さが解消されるような高可用性ソリューションを実装する

Akamai を選ぶ理由

EAA を使用すれば、The Arc of Ulster-Greene の全ユーザーが HIPAA 要件を遵守しながら、多要素認証（MFA）を通じてアプリケーションに安全にアクセスできます。ユーザーに必要なのは、デバイスのブラウザーから、使用するアプリケーションの URL を入力し、Active Directory のログイン認証情報と MFA ワンタイムパスコードを指定することだけです。個人のヘルスケア情報をユーザーのマシンからアップロードしたりダウンロードしたりすることは不可能なので、IT チームはエンドユーザーの所在地の遵守状況を調査せずにすみます。

HIPAA 準拠のリモートアクセス

EAA の導入により、The Arc of Ulster-Greene は、HIPAA 対応環境の中でリモートユーザーに機密情報を扱うアプリケーションへのアクセス権限を与えるという問題を解決できました。EAA は、ブラウザー内でリモート・デスクトップ・セッションを安全に表示できます。この独自の機能により、ユーザーは個人のヘルスケア情報をデバイスに保存することなく、自分の環境内の Windows PC にアクセスできるようになります。「多くのセキュリティ機能を得ることができました」Louwagie 氏はさらに続けます。「アクセスが必要なデータは、私たちの環境内にあります。ユーザーが実行したレポートはすべて、私たちの管理環境内のサーバー以外には保存できません」

効果的なアプリケーションセキュリティ

EAA は独自のダイヤルアウトアーキテクチャにより、ファイアウォールの内側にあるアプリケーションへのアクセスを保護しながら、ファイアウォール経由のインバウンドアクセスを排除します。Louwagie 氏は言います。「EAA のおかげで、他の方法では実現しえなかった外部での公開や利用が可能になりました。その一例は、外部からの VMware の管理です。以前なら、リスクが高すぎて考えもしませんでした」と述べています。

高可用性

The Arc of Ulster-Greene はそれまで、高可用性の要件を満たすために、複雑な DNS フェイルバックを設定したり、エンドユーザーに代替サイトへの切り替えを通知したりしていましたが、EAA によってこのプロセスは大幅に簡略化されました。Louwagie 氏は次のように述べています。「ユーザーは代替サイトにログインしていることを知る必要はありません。他のソリューションでは、そういうわけにはいきませんでしたが、EAA では導入後すぐに可能となり、何も設定する必要はありませんでした」EAA の高可用性アーキテクチャにより、ユーザーが介入することなく、ユーザー接続をバックアップの顧客サイトに自動的にフェイルオーバーすることが可能になります。

計り知れない価値

EAA は、認証、アクセス、アプリケーションセキュリティを統合し、Web、RDP、および SSH のアプリケーションに任意のブラウザーからアクセスできるようにすることで、モビリティを可能にします。EAA の組み合わせは「計り知れない価値」をもたらすと Louwagie 氏は言います。「公開する必要のあるすべてのアプリケーションに 2 要素認証で非常に簡単にアクセスできます。頭を悩ませることはありません」

IT チームとユーザーの双方にとってシンプル

EAA はすべてのコンポーネントを一元管理できるサービスとして提供されるため、エンドユーザーによる複雑なネットワーク統合は必要ありません。EAA には主要なすべての機能が事前に統合されており、サードパーティーのディレクトリ、SIEM ツール、およびセキュリティデバイスに簡単に接続できます。Louwagie 氏は次のように述べています。「私たちにとって成功だったと思える製品は、物事をシンプルにしてくれるので、ずっと機能し続けます。EAA は、本当に効果のあるものを必要とするあらゆる環境に最適なソリューションです。コストも高額ではありませんし、IT チームが複雑な物事をすべて把握する必要もありません。それに、エンドユーザーにとっても本当に使いやすいものです」

ビジネスの実現

「EAA によって、以前は考えることもできなかったような可能性が拡がります」と Louwagie 氏は付け加えます。「どんな環境でもわずか数分で EAA を起動し稼働させることができるという事実は、とてつもない柔軟性をもたらします」EAA は実質的にすべてのパブリッククラウド環境およびプライベートクラウド環境をサポートしているため、企業はオンプレミスとパブリッククラウドの両方のインフラで稼働するエンタープライズアプリケーションへのアクセスを安全に提供できます。また、これらのインフラ間の切り替えも簡単です。