メルカリの協力会社端末対策、VDIをやめてブラウザ起点に転換

メルカリは、自社の従業員だけでなく多くの協力会社（業務委託先）の力でビジネスを支えています。同社はこれまで、カスタマーサポート業務における個人情報保護のためにVDI（仮想デスクトップ基盤）を採用し、手元のPCにデータを置かない対策を取ってきました。

しかし、VDIを迂回したアクセスや画面の撮影、コピー＆ペーストといった抜け道を完全には排除できず、データ漏えいの懸念が残っていたといいます。加えて、協力会社が自身で管理する端末についてはメルカリが直接統制できず、インシデント対応に時間を要する課題も抱えていました。

こうした状況を受け、メルカリは端末全体を管理下に置く方法を目指すのではなく、業務データにアクセスする入り口である「Chromeブラウザ」に着目したアプローチを選びました。具体的には「Chrome Enterprise Premium」を導入し、IdP（統合認証基盤）へのログインをトリガーにChromeプロファイルを管理対象として登録する仕組みを採用しています。これにより、協力会社の端末にMDMなどを配布できない状況でも、エージェントレスでブラウザを一元管理できるようになりました。さらに同社は、生成AI「Gemini in Chrome」についても、協力会社を含む全社規模で導入を進めています。

VDIとは、サーバー側に仮想的なデスクトップ環境を用意し、手元の端末にはデータを一切保存させずに業務を行わせる仕組みです。機密情報を扱う企業で広く使われてきましたが、出典によれば、画面の撮影やコピー＆ペーストといった操作までは制御しきれず、保護の粒度が「利用するか、しないか」という大まかな単位にとどまる弱点があるといいます。

一方、Chrome Enterprise Premiumは、ブラウザそのものを管理対象とするセキュアブラウザの仕組みです。出典では、個人情報やソースコードなど機密データの種類や、コピー＆ペースト・未承認の生成AIへの入力・ローカルへのダウンロードといった「行為の単位」で制御できる点がVDIとの違いとして説明されています。

サプライチェーン攻撃とは、取引先や委託先を経由して本体企業に被害が及ぶサイバー攻撃を指します。自社が直接管理できない端末が攻撃の入り口になりやすいため、多くの企業にとって共通の課題となっています。メルカリの事例は、この課題に対してOS層の管理を協力会社に委ねたまま、ブラウザ層だけを自社が統制するという役割分担のモデルを示したものです。