2010年ごろから、家庭の都合で自宅作業が必要な従業員や出張が多い従業員から、「社外でもグループウェアに登録されたスケジュールを確認できる手段はないのか」との問い合わせが相次いでいたという。その中には、「自分の携帯電話やスマートフォンでスケジュールを見たい」という、BYOD解禁を求める声もあった。

良品計画の手計紀子氏

　定時退社の徹底も、こうした声の高まりを後押しした。情報システム部門から始まった定時退社が、他の部門にも波及。2007年に、会社の方針として定時退社を徹底することになった。「当初は定時退社後に社外のカフェで打ち合わせをする従業員も少なくなかったが、徐々に徹底されていった」と手計氏は振り返る。

　良品計画が以前利用していたグループウェアは、標準機能ではスマートデバイスからの利用ができなかった。そのため、海外出張をする従業員の場合、「Googleカレンダーにグループウェアのスケジュールを転記するなどして対処する人もいた」という。だが、当然ながら確認できるのは自分のスケジュールだけであり、他の従業員のスケジュールが確認できないという課題があった。

　こうした問題を受けて、良品計画はグループウェアの刷新を検討。2011年12月に、標準でスマートデバイスから利用できるドリーム・アーツの「INSUITE」を導入した。しばらくは旧グループウェアと併存させ、2012年8月までにINSUITEへ完全に切り替えた。

会社支給ケータイのスマートデバイス移行には課題が

　グループウェアはスマートデバイスからのアクセスが可能になったが、スマートデバイス自体はどう配備するか。良品計画は、もともと従業員に会社支給していた携帯電話をスマートデバイスへ置き換えるかどうかを検討した。

　だが「社外からグループウェアを確認できなくてもいい」と考える従業員も相当数いたことや移行コストなど、会社支給の携帯電話をスマートデバイスへ置き換えることには複数の課題があったという。こうした課題を踏まえつつ、スマートデバイスからグループウェアを利用したいという声にどう応えるか――。試行錯誤の中で同社が検討を始めたのが、BYOD解禁という選択肢だった。

セキュリティ対策：セキュアブラウザで安全性を確保

CACHATTOを使い、私物端末から社内システムへアクセスする

　BYOD解禁に当たり、良品計画が施したセキュリティ対策が「セキュアブラウザ」の利用だ。具体的には、e-Janネットワークスのセキュアブラウザ「CACHATTO」を採用した。CACHATTOは、社内システムのデータを端末のストレージに残さず、メモリに展開して表示する機能を持つ。システム構成とデータ通信の仕組みを工夫し、VPNを利用せずに通信の安全性を高めている。

　CACHATTOを中心としたリモートアクセスのシステム構成は、以下の図のようになる。従業員は、スマートデバイスからe-Janネットワークスが運営する中継サーバ「CACHATTOアクセスポイント」へアクセスして、必要な社内データを閲覧する。CACHATTOアクセスポイントは、良品計画が運営する「CACHATTOサーバ」と通信。CACHATTOサーバは、CACHATTOアクセスポイントからの要求に応じてINSUITEなどのサーバとやりとりし、必要なデータを取得してCACHATTOアクセスポイントへ送信する。

図：CACHATTOを使った社内システムへのアクセスの仕組み

　良品計画は、CACHATTOの利用を前提とし、さらにアクセス可能な社内システムをグループウェアやメールサーバに限定することで安全性を確保できると判断。2012年9月に、希望者に対してBYODを解禁することを決断した。

　2012年9月の第1次募集で希望者を募ったところ、「一気に100人弱の応募があった」という。さらに、2013年2月に実施した第2次募集には100人が応募し、現在は200人が私物スマートデバイスからグループウェアやメールを利用している。

VPN代替としてセキュアブラウザを導入

　実は良品計画がCACHATTOを利用するのは、今回が初めてではない。ノートPCからのリモートアクセス手段であるSSL VPNの不安定さを解消する目的で、BYOD解禁の1年前である2011年8月にはCACHATTOを部分導入していた。

　良品計画は、従業員がノートPCを使って外出先から社内システムへリモートアクセスする手段として、SSL VPNを利用していた。F5ネットワークスジャパンのSSL VPNアプライアンス「FirePass」（現在は販売終了）を利用し、SSL VPN経由でメールサーバをはじめとする社内システムへアクセスする仕組みだ。

　このSSL VPNは、接続状況によって接続不良が発生する場合があった。例えば、中国の拠点から国内の社内システムへアクセスしようとすると、何らかの影響により回線が途切れる問題が発生していたという。解決策を模索する中で、VPNを利用せず社内システムへ安全にアクセスできるCACHATTOの存在を知り、導入に至った。

　現在はSSL VPNの不安定さは解消されたが、社内システムへの主要なリモートアクセス手段としてCACHATTOを利用している。

ユーザー情報登録の機能強化で本格導入を決断

　こうした経緯があって、良品計画はCACHATTOがBYODのセキュリティ対策として使えるのではないかと判断したわけだが、本格導入に当たって解決すべき課題もあった。それはユーザー登録の手間が掛かりがちなことだ。

　CACHATTOには、もともとユーザー情報の一括登録機能が搭載されていた。これは、CACHATTOからグループウェアなどの業務システムを利用するための機能である。だたし、INSUITEのユーザー情報を登録する場合は、各ユーザーのパスワードを入力したCSVデータを手作業で作成する必要があった。

　さらに良品計画には、社内システムについて「半年に1回はパスワードを変更する」というセキュリティポリシーがある。BYDO希望者100人分以上のユーザー情報を登録する必要がある同社にとって、「手作業でパスワードを入力する運用は現実的ではないと判断した」。

　良品計画は、INSUITEのパスワードを含めたユーザー情報の一括登録が実現できないかどうか、e-Janネットワークスに問い合わせた。e-Janネットワークスは、良品計画に加えて他のユーザー企業からも同様の声があったことから、2012年8月にINSUITEのパスワードの自動登録機能の搭載を表明（INSUITEの正式サポート開始は2012年12月）。こうした機能強化を受けて、良品計画はBYODセキュリティ対策としてCACHATTOの本格導入を決断した。

MDMは「私物端末への導入は難しい」

　端末情報を収集したり、端末内のデータを消去したりする機能を持つ「モバイルデバイス管理（MDM）」製品は、私物端末に導入するのは難しいと判断した。「BYOD解禁に当たり、『私物端末から情報を吸い上げない』ことをポリシーとして定めていた」ことが理由だ。

　私物端末にMDMを導入していないのは、CACHATTOで十分なセキュリティ対策ができると判断していることも大きいという。「端末にデータを残さないことで、安全性は確保できると考えた」

　良品計画は、店舗向けには200台のiPadを支給している。会社支給のiPadのセキュリティ対策にはMDM製品を利用。複数製品を比較検討し、独equinuxのMDM製品「TARMAC」を2013年3月から順次導入している。

　前述の通り、私物スマートデバイスから利用可能な社内システムは、グループウェアとメールサーバに限定している。SSL VPNの代替としてノートPCでCACHATTOを利用する場合は、グループウェアやメールサーバに加えて、同社の中核システムである「MDシステム」をはじめとする基幹システムを利用可能にしている。

従業員の協力でスムーズに導入

　BYOD解禁とそれに伴うCACHATTOの導入は、大きな問題なく進んだ。その背景には、BYOD希望者にはCACHATTOのセルフキッティングをしてもらうなど、「従業員をはじめ関係者の協力があった」と手計氏は強調する。同社はCACHATTOの導入に関するマニュアルを作成し、BYODを希望する従業員に配布した。

　CACHATTO自体の使い勝手については、従業員から目立った改善の要望は来ていない。ただし、グループウェアのユーザーインタフェースは、当日のスケジュールから月間スケジュールへ切り替えるのに数回のボタンタップが必要であるなど、改良の余地があるという。