当社はここ数年で社員数が大幅に増加しています。6年前は、わずか200名ほどの組織だったので「こんなトラブルがあったから気を付けて」と社内で声を掛ければ、端まで声が届く距離感でした。しかし、現在は国内外のグループ会社も含めると社員数は2000名を超える組織に成長し、もはや声掛けだけでは内部統制を利かせることは難しい規模になっています。

そこで、インターネット経由でのマルウェア感染やシャドーITによる情報漏洩などのセキュリティリスクを軽減させるため、SWG（Secure Web Gateway）の導入を検討していました。しかし、実際に検討を進めてみると、開発職が使用している多種多様なSaaSツールのトラフィックが影響し合うケースが多いことが分かり、最初からSWGを全社に導入するのはハードルが非常に高いと判断しました。

そこで、業務への影響を最小限に抑えるために、まずはスコープをSaaS製品のアクセス可視化と制御に限定し、CASB（Cloud Access Security Broker）から導入することに。様々なソリューションを検討しましたが、SWG機能を保有しながらCASB機能だけを利用できるという点でNetskopeを採用しました。

ビジネス職が使っているアプリケーションにはほとんど影響がありませんでしたが、開発職はさまざまなアプリケーションやツールを活用しているため、一部はNetskopeがまだ対応していなかったり、既存のセキュリティ製品と通信を取り合ったりするものもありました。開発職が使用中のツールが使えなくなることで提供中のサービスに影響が出てしまったり、お客様にご迷惑をおかけしたりすることのないよう、開発職への導入は慎重に行いました。

導入後は、今まで見られなかったトラフィックやSaaSの利用状況をきちんと把握できるようになりました。もともと、トラフィックについてはファイアウォールのログ情報からある程度は把握していましたが、どのような「使われ方」をしているのかという詳細までは把握できていませんでした。

たとえば、Google Workspaceにアクセスしていることは把握できても、ログインしているアカウントが個人アカウントなのか、会社支給アカウントなのかといった点については分かりませんでしたが、Netskope導入後は、さまざまなSaaSにおいて、どのように使われているかをきちんと把握できるようになりました。

また、コーポレート側が把握するだけではなく、社内にコミュニケーションすることの重要性も感じています。「CASBが導入されている」「Netskopeによって見られている」という意識は、内部不正に対する抑止力やシャドーITに対する予防にもなっていると思います。

正直、SaaSの利用を制限するCASBは、自由度の高いマネーフォワードカルチャーと相反する面もあります。金融系Webサービスでは機微な情報を扱うため、厳密なセキュリティが求められる一方で、ガチガチに制限してしまい私たちの強みが失われることがないよう、その線引きは現在も手探りで進めているところです。