TOTVS、マルチクラウド環境におけるワークロードとインフラストラクチャを保護

会社概要

ブラジルに拠点を置く TOTVS は、ブラジル最大の企業リソース計画 (ERP) プロバイダーで、顧客の競争力を高めるインテリジェントで統合された技術ソリューションを提供しています。TOTVS は、財務や人事から製造、サプライチェーン管理までコア ビジネス プロセスの統合と管理により、41 か国以上の企業で信頼を得ており、ビジネス全体の可視性と効率性を推進しています。TOTVS は、AWS などのパブリック クラウド プロバイダーと自社クラウドに支えられたクラウド基盤を持ち、TOTVS の顧客が TOTVS ERP ソリューションをクラウド上で実行できるようにするとともに、パフォーマンスの向上、従量制の柔軟性とスケーラビリティを実現しています。しかし、IT ワークロードをクラウドで運用することにリスクがない訳ではありません。TOTVS は、プラットフォームの使用が急増する中、クラウド資産とサービスのセキュリティの強化と、環境全体への一貫した特権アクセス ポリシーの強化を模索していました。

• 年間売上高: 25 億米ドル
• 従業員数: 8000 名以上

課題

AWS や Azure をはじめとするクラウド ベンダーが明らかにしているように、クラウドにおけるセキュリティは共有の責任です。これらのパブリック クラウド ベンダーは、計算やストレージなどのクラウド インフラストラクチャの保護に多大な努力を払っていますが、OS、アプリケーション、データ、外部リソースへのアクセス、その他の資産やインフラなど、ハイパーバイザーより上の全てを保護する責任は、顧客にあります。この責任共有モデルを十分に理解した上で、TOTVS Cloud のセキュリティ チームは、サイバー レジリエンスを強化するだけでなく、自動化、標準化、効率化を推進することで TOTVS クラウドに付加価値を与えることができるセキュリティ ソリューションの選定を始めました。

TOTVS 情報セキュリティ クラウド チームは、候補となるソリューションに関する詳細な技術分析を行い、パフォーマンス、回復力、正常性検査、高可用性 / 災害復旧要件、コストなどを総合的に勘案して、市場をリードする CyberArk Privileged Access Manager Solution を選択、導入することにしました。

ソリューション

TOTVS Cloud 基盤は、必要に応じて新しい仮想サーバー、データ ストア、コンテナなどのリソースをプロビジョニングすることが可能です。新しい ERP リソースが開始、起動されると、プログラム上の要求を容易にするために、対応する特権認証情報が割り当てられます。しかし、これらの特権認証情報は保護されていないため、環境全体に数え切れないほどの新しい脆弱性を生み出しています。CyberArk ソリューションが導入された TOTVS チームは、新しいインスタンスのプロビジョニング、関連する認証情報とシークレットの保護、最小特権の原則を使用した一元管理、暗号化された Enterprise Password Vault とその管理という手間のかかるプロセスの自動化を始めました。REST API を活用することで、これらの特権認証情報は、人的な操作を必要とせずに、承認されたユーザーやアプリケーションによってオンデマンドで取得できるようになりました。インフラがプロビジョニング解除されたとき、CyberArk ソリューションはその特権を自動的に削除します。

CyberArk Privileged Session Manager は、クラウド環境全体の攻撃対象領域のサイズを削減し、資産を保護するために、ゲートウェイ(またはジャンプサーバー)として機能し、RDP および SSH アクセスを制限し、ネットワークを分離および強化し、セッションを監視して、改ざん防止の監査ログを生成します。これにより、TOTVS Cloud アナリストは、顧客の環境のパスワードに直接アクセスすることなく、顧客のサーバーにアクセスできるようになりました。

CyberArk のソリューションにより、TOTVS は、クラウド プラットフォームの API を利用するハードコードされた目に見えるアプリケーションとスクリプトを排除すると同時に、アプリケーション間の統合に高い安全性を持つ方法を提供できるようになりました。

結果

TOTVS Cloud のセキュリティ チームによると、全てのアクセス インスタンスを CyberArk で管理することで、アカウントのワークフローやオンボーディング ルールから権限付与まで、特権アクセス管理タスクの自動化とその容易な管理が可能になったと言います。これらの対策は、TOTVS を大きく支援し、運用効率を向上させています。また、クラウド コンピューティング環境の動的な環境で、より戦略的に TOTVS アナリストが一貫した保護とポリシーを実施するため、貴重な時間を割くことができます。

CyberArk は、厳格な ISO 27001 対策を満たしながら、TOTVS　の監査およびコンプライアンスの取り組みを削減し、コストを削減する取り組みを支援してきました。TOTVS Cloud は、ブラジルの法的な枠組み(一般データ保護法 – ポルトガル語の LGPD)でも、データ保護とプライバシー問題に関連するセキュリティ リスクを低減しています。

TOTVS は、280 人以上のユーザーを擁し、3,000 以上のパスワードが CyberArk により保存され、継続的に管理されています。組織が変革的な技術を採用し、クラウド プラットフォームを拡張してグローバルな顧客ベースにより良いサービスを提供する中、チームは CyberArk との関係を拡大する計画を立てています。

「CyberArk では、リスクを低減し、当社独自の要件に全て対応し、TOTVS Cloud プラットフォームを大幅に強化するための、単一の拡張性の高いソリューションを見つけることができました」

– TOTVS、 クラウド セキュリティ チーム

重要な利点

• CyberArk を通してのみクラウド インスタンスへのアクセスが行われるため、このクラウド環境全体で使用される特権アカウント、認証情報、シークレットに一貫した堅牢な保護とセキュリティを提供
• 組織全体のワークフローを大幅に改善し、エンドツーエンドの自動化で運用効率を最大化
• 監査を簡素化し、ISO 27001 への準拠を実現