The Arc of Ulster-Greene

The Arc of Ulster-Greeneは、ニューヨーク州のミッドハドソンおよびキャッツキル山地地域において、知的障害や発達障害の影響を受けている人々に多様なサービスを提供している非営利団体の一部です。この組織の小規模なテクノロジーチームは、100か所に点在する2,500人の従業員にサービスを提供しながら、クラウドに取り組み、IT／ネットワーク管理業務をシンプルにするITソリューションを使用していますが、組織はリモートユーザーが重要な医療記録アプリケーションへのアクセスを提供することが大きな課題となっていました。

HIPAAを遵守する組織でモビリティとリモートアクセスのセキュリティを確保するのは非常に難しいことです。The Arc of Ulster-Greeneは、CitrixとMicrosoftのリモート・デスクトップ・ソリューションを使用していましたが、ITスタッフは次に示すようないくつかの課題に直面していました。

• HIPAA遵守の観点からセキュリティ体制を改善するために、アプリケーションアクセスのセキュリティレイヤーを追加する必要がありました。
• 従業員のモバイル化が進み、リモート・デスクトップ・ソリューションでは組織の要件に対応できなくなりました。
• 高可用性の要件を満たすためにはセカンダリサイトに簡単にフェイルオーバーできることが必要でしたが、この作業は非常に複雑であることがわかっていました。
• 既存のソリューションも、検討していたソリューションも複雑であり、インフラと人員の追加が必要でした。

The Arc of Ulster-GreenのCIO、Bart Louwagie氏は次のように述べています。「従業員が各自のPCを使って自宅で仕事ができるようにするためには、自宅を検査して実際に遵守状況を確認する必要があります。これは無視されがちですが、HIPAAに関連した大きな問題です。どこでも仕事ができるということは、どこでも（医療個人情報の）情報漏えいが起こりうるということです。物理的に制御することはできません」The Arc of Ulster-Greeneの従業員のモビリティ向上により、IT組織にはより高いアジリティも求められています。「明日移動すると言われても現在は対応できませんが、対応できるようにすべきです」Louwagie氏はそう補足します。

さらに、どのようなリモート・アクセス・ソリューションでも高可用性は不可欠です。The Arc of Ulster-Greeneが災害時対応モードになった場合、従業員はリモートサイトからログインする必要があります。そのため、ITスタッフは既存のベンダーに可能なソリューションを問い合わせました。Louwagie氏は次のように述べています。「災害時のリモートアクセスは、DNSフェイルバックソリューションを使用するか、または別の場所に移動するようにユーザーに通知する必要があるとのことで、いずれにしても複雑でした。ベンダーとともに概念実証を進めようとしましたが、私たちの環境では機能しなかったのです」

The Arc of Ulster-Greeneが目標を達成するためには、次に示す3つの主要な要件を満たす必要がありました。

• リモート・アクセス・ソリューションの提供に伴う負荷を軽減する
• 多要素認証を実装して、HIPAA遵守の観点からセキュリティ体制を改善する
• 複雑さが解消されるような高可用性ソリューションを実装する

EAAを使用すれば、The Arc of Ulster-Greeneの全ユーザーがHIPAA要件を遵守しながら、多要素認証（MFA）を通じてアプリケーションに安全にアクセスできます。ユーザーに必要なのは、デバイスのブラウザーから、使用するアプリケーションのURLを入力し、Active Directoryのログイン認証情報とMFAワンタイムパスコードを指定することだけです。個人のヘルスケア情報をユーザーのマシンからアップロードしたりダウンロードしたりすることは不可能なので、ITチームはエンドユーザーの所在地の遵守状況を調査せずにすみます。

EAAの導入により、The Arc of Ulster-Greeneは、HIPAA対応環境の中でリモートユーザーに機密情報を扱うアプリケーションへのアクセス権限を与えるという問題を解決できました。EAAは、ブラウザー内でリモート・デスクトップ・セッションを安全に表示できます。この独自の機能により、ユーザーは個人のヘルスケア情報をデバイスに保存することなく、自分の環境内のWindows PCにアクセスできるようになります。「多くのセキュリティ機能を得ることができました」Louwagie氏はさらに続けます。「アクセスが必要なデータは、私たちの環境内にあります。ユーザーが実行したレポートはすべて、私たちの管理環境内のサーバー以外には保存できません」

EAAは独自のダイヤルアウトアーキテクチャにより、ファイアウォールの内側にあるアプリケーションへのアクセスを保護しながら、ファイアウォール経由のインバウンドアクセスを排除します。Louwagie氏は言います。「EAAのおかげで、他の方法では実現しえなかった外部での公開や利用が可能になりました。その一例は、外部からのVMwareの管理です。以前なら、リスクが高すぎて考えもしませんでした」と述べています。

The Arc of Ulster-Greeneはそれまで、高可用性の要件を満たすために、複雑なDNSフェイルバックを設定したり、エンドユーザーに代替サイトへの切り替えを通知したりしていましたが、EAAによってこのプロセスは大幅に簡略化されました。Louwagie氏は次のように述べています。「ユーザーは代替サイトにログインしていることを知る必要はありません。他のソリューションでは、そういうわけにはいきませんでしたが、EAAでは導入後すぐに可能となり、何も設定する必要はありませんでした」EAAの高可用性アーキテクチャにより、ユーザーが介入することなく、ユーザー接続をバックアップの顧客サイトに自動的にフェイルオーバーすることが可能になります。

EAAは、認証、アクセス、アプリケーションセキュリティを統合し、Web、RDP、およびSSHのアプリケーションに任意のブラウザーからアクセスできるようにすることで、モビリティを可能にします。EAAの組み合わせは「計り知れない価値」をもたらすとLouwagie氏は言います。「公開する必要のあるすべてのアプリケーションに2要素認証で非常に簡単にアクセスできます。頭を悩ませることはありません」

EAAはすべてのコンポーネントを一元管理できるサービスとして提供されるため、エンドユーザーによる複雑なネットワーク統合は必要ありません。EAAには主要なすべての機能が事前に統合されており、サードパーティーのディレクトリ、SIEMツール、およびセキュリティデバイスに簡単に接続できます。Louwagie氏は次のように述べています。「私たちにとって成功だったと思える製品は、物事をシンプルにしてくれるので、ずっと機能し続けます。EAAは、本当に効果のあるものを必要とするあらゆる環境に最適なソリューションです。コストも高額ではありませんし、ITチームが複雑な物事をすべて把握する必要もありません。それに、エンドユーザーにとっても本当に使いやすいものです」

「EAAによって、以前は考えることもできなかったような可能性が拡がります」とLouwagie氏は付け加えます。「どんな環境でもわずか数分でEAAを起動し稼働させることができるという事実は、とてつもない柔軟性をもたらします」EAAは実質的にすべてのパブリッククラウド環境およびプライベートクラウド環境をサポートしているため、企業はオンプレミスとパブリッククラウドの両方のインフラで稼働するエンタープライズアプリケーションへのアクセスを安全に提供できます。また、これらのインフラ間の切り替えも簡単です。