Slack Enterprise Grid に Enterprise Key Management が登場

セキュリティ意識の高いお客様にとって Slack EKM がどんな意義を持つのか、Belknap にさらに詳しく訊いてみました。

Slack: Slack Enterprise Key Management (Slack EKM) とは？

Geoff Belknap:Slack はすでにデータの送受信と保存の際に暗号化を行っていますが、Slack EKM の導入により、Enterprise Grid では暗号化と復号化の対象をさらに細かくコントロールできるようになります。ユーザー企業、とりわけ規制産業のお客様にとっては、会話、データ、ファイルを Slack で共有しながら、リスク緩和のための独自の要件も満たせるセキュリティの強化手段になるでしょう。

Slack EKM には、他にはない特長がいくつかあります。その一つは、お客様が独自の暗号化キーを利用できることです (キーの管理は Amazon の AWS KMS で行います)。これにより、機密度の高いデータの幅広いコントロールと可視化をもたらします。

さらにシステム設計上、特にユニークな点として、インシデントの発生時に製品全体へのアクセスを取り消すのではなく、非常に細かく対象を絞ってアクセスを無効にできることが挙げられます。アクセスの取り消しをピンポイントで行えるので、業務に影響を与えずに、管理者がリスク緩和を図ることができます。

Slack: Slack EKM のリリースの理由は？

GB:金融サービス、ヘルスケア、行政など、厳格な規制を受けている業界では、使えるコラボレーションツールが限られていることがあります。そういったお客様の具体的なセキュリティのニーズに対応できるソリューションを作りたいという思いがあったのです。

Slack: お客様に伝えたい Slack EKM の一番の魅力は？

GB:お客様が自社に割り当てられた暗号化キーを自社で完全にコントロールできるという点ですね。いつ、何を無効にするかといった、アクセスの細かいコントロールのほか、データの使用方法も把握できます。データにアクセスした時刻や場所を詳細なアクティビティログから確実に把握できるので、リスクや異常にもすぐに気づけます。

Slack: 管理者がアクセスを無効にした場合、Slack の利用や機能には影響しますか？

GB:Slack EKM は、そうした影響をなるべく小さく抑えるために設計しました。アクセスの無効化が一括でしか行えない他のソリューションとは違い、Slack EKM は必要に応じてアクセスをピンポイントで無効にすることができます。

例えば、一日のうちの特定の時間帯、あるいは特定のチャンネルのみといった形でアクセスの取り消し対象を決めることができるため、問題があっても、Slack を完全にシャットダウンして社内のチームや部署のすべてで Slack へのアクセスをブロックする必要はありません。もちろん全社レベルのブロックもやろうと思えばできますが、Slack EKM は日々の仕事に必要な機能へのアクセスを妨げずに、データの安全をより手軽に図るために開発したものです。

Slack: 上のデータの安全を保つためにお客様はほかに何ができますか？

GB:大企業でも、メンバーが 2～3 人の無料の Slack ワークスペースを使っているチームでも、次の基本を押さえることが大切です。

• Slack ワークスペースにだれを招待したかを常に把握していること。
• どのアプリを使うかをしっかり検討し、アプリの追加権限を持つ担当者を決めておくこと。
• Slack アクセスログを常に見直し、不審な動作がないかどうかを確認すること。例えば、いずれかの API キーが公開されたり、新しい IP アドレスからログインがあった時は Slack から通知が届きます。こうした情報をもとにユーザーの保護やセキュリティ面での意思決定を適切に行ってください。

Slack: の最高セキュリティ責任者として、最も難しいと感じることはどんなことですか？

GB:最高セキュリティ責任者としての仕事は責任重大ですが、私は Slack でこの仕事ができてとても運がよかったと思っています。Slack とお客様の成功にとって、セキュリティが不可欠な要素だという意識が、Slack の経営陣から社内全体に浸透しているからです。