Snykが開発者エクスペリエンスを重視する理由

コンテキストの切り替えは、セキュリティにとって最大の敵になり得ます。現在のセキュリティ対策では、開発者の協力が不可欠です。セキュリティチームが問題への対処を求める際に、開発者に慣れ親しんだワークフローから外れるよう求めると、導入される可能性は大きく低下します。

開発者がコード内の脆弱性を見つけて修正できるようにするには、セキュリティチームはセキュリティ対策をさらに開発プロセスの早い段階へ移行させる必要があります。使いやすいツールを提供し、その使い方をトレーニングするだけでは不十分です。セキュリティ関連の作業を行うためにワークフローを中断しなければならないツールでは、認知的な負荷が増えてしまいます。開発者にはすでに多くの作業があり、さらに別のタスクを追加する時間やリソースがないことも少なくありません。

こうした課題に対応するため、Snykは開発者ファーストのソリューションを強化する新機能をリリースします。これにより、セキュリティチームは、今日の開発ライフサイクルにおける新たな現実に引き続き適応できます。先日開催した最新のSnykLaunchでは、これらの新機能の一部をユーザーの皆さまにご紹介しました。オンデマンドでご覧いただけます。この記事では、開発者エクスペリエンスを直接向上させる新機能と、それが今日のチームにとって重要な理由を取り上げます。

コンテキスト切り替えのコスト

開発者が多くの時間を費やす場所は、主にIDE、CLI、SCMの3つです。進行中のプロジェクトについてセキュリティアラートを受け取り、別のプラットフォームに移動して問題に対処するのは簡単に思えるかもしれませんが、実際はそうではありません。コンテキストを切り替えると、開発者は慣れた作業の流れから離れるだけでなく、ソフトウェア開発に余分な手順が加わります。生産性の流れが中断され、セキュリティ関連の作業を行うために複数のシステムを行き来する必要も生じます。

開発者は、手書きのコード、生成AIで作成したコード、あるいはその両方を、主にIDEで記述します。コードをブランチまたはフォークし、段階的にSCMへプッシュして、準備ができたら「プルリクエスト」（PR）を作成します。プルリクエストは、スムーズなコラボレーションとコードレビューのためのものです。このプロセスを中断し、セキュリティ上の問題に対処するためにSCMのワークフローから離れるよう開発者に求めると、予期しないタスクが追加され、勢いが削がれます。効率的なPRワークフローの目的が損なわれてしまうのです。もうすぐ終わると思っていたところで、ToDoリストに突然タスクが追加されるようなものです。

開発チームとセキュリティチームの間にこのような隔たりがあると、DevSecOpsの取り組みに悪影響を及ぼします。セキュリティチームは、なぜより多くの開発者がツールを導入しないのかと疑問に思う一方、開発者は予期しないタスクによってワークフローが中断されることに抵抗を感じる場合があります。関係者全員にとって、誰も得をしない状況です。

開発者エクスペリエンスを支える2つの柱

セキュリティ上の問題に対処するために開発者の集中を妨げるのではなく、セキュリティチームは開発者がすでに使っているツールの中で対応する必要があります。そのために役立つ基本的な考え方は2つあります。

1. 開発者が作業しているコンテキストで情報を提供する

コードのセキュリティ上の問題を適切に修正するには、開発者にある程度の背景情報が必要です。たとえば、特定の行が脆弱性として検出された理由や、脆弱性を解消するためにどのような変更を加えればよいかといった情報です。ただし、一般的なドキュメントを読み解いたり、セキュリティプラットフォーム上のチュートリアルを受講したりして問題を解決するよう、開発者に期待することはできません。簡潔な背景情報と修正のアドバイスを提供する、手軽に読める学習リソースが必要です。過不足のない情報を届けましょう。

2. ワークフローの摩擦と中断を最小限に抑える

Snykはすでに、IDE内で開発者がセキュリティ上の脆弱性を見つけて修正できるよう支援しています。開発者がSCMでの作業にも多くの時間を費やしていることを踏まえ、SnykはSCMのPRワークフローにセキュリティ分析を組み込むことで、開発者ファーストのツールをさらに拡充しています。これにより、開発者は日常的に使い慣れたツールの中で、スムーズにセキュリティフィードバックを受け取れます。

開発者エクスペリエンスを向上させるSnykの新しいPR機能

開発チームと直接連携し、開発者がIDEにセキュリティを組み込む支援をしてきた経験から、セキュリティを取り入れる最適な場所は開発者がすでに使っているツールだとわかりました。開発者が「PRを作成」ボタンをクリックすると、SnykのPRチェック（Snyk Open Sourceでは一般提供、Snyk Codeでは早期アクセス）が、標準的なPRワークフロー内でセキュリティコードレビューを実施します。

PRチェックのスキャンが完了すると、新しい「問題の概要」機能によって、セキュリティ検出結果をまとめたコメントがSCM内の開発者のPRワークフローに表示されます。検出結果は深刻度別にまとめられ、開発者が問題を確認して対処するための直接リンクも含まれます。

さらに、Snykが生成するPRをチームごとにカスタマイズできるカスタマイズ可能なPRテンプレートも提供しています。新しいテンプレートを使えば、Snykが生成するプルリクエストを組織固有の基準、慣行、コミュニケーションの好みに合わせられます。タイトルと説明、共有するセキュリティの詳細、JIRAチケットの情報まで指定でき、開発者がPRで確認したい内容に合わせることができます。組織に合わせて機能を調整することで、既存の開発者ワークフローにさらにシームレスに組み込めます。

これらの新しいプルリクエスト機能について詳しくは、最新のSnykLaunchプレゼンテーションをご覧ください。