メルカリがOkta導入で従業員の利便性とセキュリティの両立を実現

最高のProduct Experience実現のために、最高のEmployee Experienceを実現　

株式会社メルカリ（以下、メルカリ）は、2023年2月に創業10周年を迎えたフリマアプリの最大手企業です。今やマーケットプレイスへの累計出品数は30億品以上（2022年11月時点）。アメリカやインドにも事業拠点を設け、グローバルで展開する日本発のテクノロジー企業として事業を拡充させています。同社は創業10周年の節目に、「あらゆる価値を循環させ、あらゆる人の可能性を広げる（Circulate all forms of value to unleash the potential in all people）」というグループミッションを新たに策定。フリマのマーケットプレイスだけに限定せず、フィンテックも含めた人々のライフスタイルの基盤となるプラットフォームの構築を目指しています。

この成長を続けるメルカリの屋台骨である従業員の労働環境を支える同社コーポレートエンジリング部門は、「最高のProduct Experience実現のために、最高のEmployee Experienceを実現させる」というミッションを掲げています。コーポレートエンジニアリングチームのIT Serviceチームで社内システムの運用管理に携わっている吉川崇さんは、こう説明します。「お客様に最高のプロダクトを提供するには、社内エンジニアが働く環境も最高のものにしていかなければなりません。そのために、従業員がいかにストレスなく滑らかにツールを使えるかという利便性の部分と、様々な環境でも安全にツールを使えるというセキュリティの部分を両立できる環境を整えていくことが重要だと考えています。」

従業員は業務を効率よく行うために様々なSaaSアプリを利用する必要があります。メルカリでは現在2,000人以上の従業員がOkta経由で400個以上におよぶSaaSアプリを利用しています。従業員によっては使いたいアプリが異なりますし、アプリ数が増えれば増えるほど、個々のアプリのアカウント管理が複雑になります。メルカリでは、業務で使うSaaSアプリを利用するための認証システムとして、2015年からエンジニア主導でOktaを利用してきました。しかし、当時は専任のIT部門が存在していなかったため、運用管理体制が整っておらず、エンジニアが手作業で個々のアプリごとにアカウント管理を行っているような状況でした。

吉川さんは当時の状況を次のように振り返ります。「私が入社した2017年当時は従業員が700人程度の規模になっていて、社内で利用するSaaSアプリ数も増え、それらのアカウント管理の工数も指数関数的に増えている状況でした。アプリを利用するためのアクセス権の付与や解除なども、アプリごとに担当者が逐一、手作業で行っていたため、アプリの割当でいわゆる『抜け』や『漏れ』がどうしても発生しやすくなっていました。」

メルカリはフリマアプリ事業だけではなく、フィンテック事業にも領域を広げながら、従業員数の入社も加速度的に増えている状況であったため、従来の手作業によるアカウント管理では限界に来ていました。今後の更なる成長を見越して、人事管理システムと連携させることによって、自動的なSaaSアプリのアカウント管理ができる仕組みを整える必要があるという声は、必然的に社内で高まっていきました。

Oktaと人事管理システムを連携させ、利便性とセキュリティがさらに向上

かくしてメルカリでは2020年に、新たに人事管理システムを導入して、そこから情報を吸い上げてOkta側に情報を渡すことで、自動的なSaaSアプリのアカウント管理を行えるようにする取り組みが始まります。具体的には、「Okta Workforce Identity Cloud」（Okta WIC）で提供するUniversal DirectoryとLifecycle Management を導入して、人事管理システムとの連携によるプロビジョニングにより、従業員の入退社や異動が発生した時に、自動的なSaaSアプリの割当やアカウント解除を実現させました。

コーポレートエンジニアリングチームで、IT Platformチームマネージャーを務める菊池健人さんは、次のように語ります。「1つのツールに対してアカウントを作ったり削除したりするだけでも、人の手で作業を行えば数分かかります。そのツールやアカウントの数が増えれば、システム管理部門の負荷も増大します。特にメルカリでは月によっては100人もの社員が入社することもありましたので、当然手が回らなくなります。Oktaでプロビジョニング連携することにより、あらゆるツールに対する権限の付与や廃止が一括して自動的にできるようになり、システム管理部門の負荷は大きく軽減されました。作業負荷は、従来の5分の1以下にまで削減できました。」

従業員が遺憾なくパフォーマンスを発揮できるようになるためには、入社して最初にパソコンを開いた瞬間に、シングルサインオンですべてのツールに過不足なくアクセスできる作業環境を提供しなければなりません。逆に従業員が退職する場合には、スケジュール通りにアカウントを廃止し、Slackのような連絡ツールや、開発で用いるアプリケーションへのアクセスを厳密に遮断することが求められます。こうしたことがOktaだからこそ実現できたと菊地さんは語ります。「アカウントやアクセスの厳密な管理は、大元となる人事システムの設計ともかかわってくるので、かなり難易度が高いんです。Oktaは拡張性が高いだけでなく、非常にきめ細かなルール設定が可能なので柔軟に対応できます。Oktaを活用することで、メルカリでは海外の事業部でも基本的に日本と同じ基準でセキュアな環境が提供できています。」　

このような自動化を実現するIT環境を実現するには、導入するSaaSアプリがシングルサインオンを可能にするSAML連携や、プロビジョニングを可能にするSCIM連携に対応していることがあたり前でなくてはなりません。「今ではOktaありきの考え方でツールを選択していますので、Oktaと連携できる標準規格に対応したツールを選択するようになっています」と菊池さんは語ります。Oktaでは標準規格に対応した7,500以上のアプリと容易に連携できるOkta Integration Network（OIN）を展開しているため、従業員が使いたいベストオブブリードのアプリをOIN経由で選択して、アカウント管理の自動化が実現できます。メルカリの中にはまだOktaと連携できていないツールもありますが、最終的には全てのツールをOktaと連携できるものに入れ替えていくことを計画しています。

多様な働き方を尊重した勤務形態を実現

メルカリは、リモートワークや子育てなどに対応したフレクシブルな勤務形態を他に先駆けて導入し、コロナ禍においてもどこからでも社内のリソースにアクセスできる環境を提供しました。2021年9月からは働く場所、住む場所、働く時間を自由に選択できる勤務方針として「YOUR CHOICE」を導入するなど、多様な働き方を尊重した新しいワークスタイルを実現しています。

通常リモートワークを実現しようとすると、ガチガチのセキュリティにより、従業員の利便性が損なわれてしまいますが、メルカリではMFAを進化させた適応型の多要素認証であるOktaのAdaptive MFAを導入したことで、従業員の状況や環境に応じてリスクレベルを判断し、適切なMFA要素を要求するため利便性が損なわれません。また、認証されたデバイスしかアクセスできないようにするDevice Trustを導入したことで、従業員はどこからでも安心してアプリやシステムにアクセスできる柔軟なリモートワーク環境のもとで働いています。

さらに、Device Trustと、パスワードレス認証を可能にするOkta FastPassを組み合わせて、認証されたデバイスを使って生体認証によるパスワードレス認証を導入しています。菊池さんはこう語ります。「Okta FastPassによって、指一本の生体認証で様々なリソースにアクセスすることができるようになりました。導入前は、パスワードの入力を何度も間違えたことでパソコンにロックがかかってしまったという問い合わせがよくありましたが、そのような問い合わせが全くなくなりました。」

常に時代の一歩先を行く発想と機能性

セキュリティを高めながら利便性も確保していくのは、必ずしも容易ではありません。利便性を高めようとすれば、セキュリティがおろそかになりがちですし、セキュリティばかりを重視すると、今度は使い勝手が悪くなってしまいます。吉川さんにとって、この難しい課題を両立させたのがOktaでした。「Oktaは発想が違うというか。他社の製品は、セキュリティばかりを重視した『守り』の発想で開発されたものがほとんどです。しかしOktaの場合は『攻め』の姿勢を貫いてきました。セキュリティを万全に担保しながら、様々なツールと連携ができる拡張性や、豊富なAPI、ニーズに即したきめ細かな設定環境が用意されているので、私たちも積極的に新しいアイデアにトライできます。Oktaはまさに最適な選択だと思いますし、今後もメルカリのアイデンティティ管理のインフラとして不可欠なものになっていくでしょう。」

吉川さんは、Oktaの姿勢にも共感を覚えたと語ります。メルカリの事業の発展にともない、当然、システム管理部門に求められる要件も増えてきますが、Oktaもタイムリーに機能を拡充してきたからです。「たとえば私たちがOktaを導入した時点では、まだDevice Trustの機能はなかったと思いますが、時代のニーズに合わせてOktaがそういう機能を追加してくれた。そのおかげで、私たちの選択肢も増え、新たな構想も検討できるようになる。常に一歩先を見据えていくという点は、メルカリと共通していると思います。」

Oktaと共に見据えるID管理基盤の未来像　

吉川さんは今後Okta Workflowsを活用して、さらにアカウント管理の自動化を推進することで人的ミスや管理工数を削減していくことを目指しています。「人が作業すると必ずどこかでミスが発生しますので、それをできるだけなくせるように、仕組み化することが我々の使命だと思っています。」

さらに、Oktaを活用した、ID管理の新たな未来も見据えています。「私たちは将来的には、PCのログインに必要なパスワードなど、パスワードそのものを廃止することも考えています。パスワードを入力せずに済めば利便性は飛躍的に高まりますし、一方では、より高度で緻密なセキュリティ管理も達成できます。これこそが究極のレベルにおける利便性とセキュリティの両立だと思います。『最高のProduct Experience実現のために、最高のEmployee Experienceを実現させる。』このミッションを追求するためにも、Oktaとは1つ上のステージを一緒に目指していきたいですね。」

メルカリは、社会に新たな価値を生み出すフリマアプリの最大手企業として右肩上がりの成長を続けながら、高度な技術力、斬新なサービス、勤務形態の先進性などにおいても、時代の旗手となってきました。この意義ある活動を支えているのが、時代の先を見据えた発想と高い技術力で、利便性とセキュリティの両立を可能にするOktaなのです。