AWS re:Invent 2022：Neiman Marcusが開発者ファーストのセキュリティへ移行した方法

著者

2022年12月12日

0 分で読めます

今年のAWS re:Inventカンファレンスで、Snykのプロダクトマーケティング担当VPであるRavi Mairaが、Neiman Marcusのサイバーセキュリティアーキテクト、Omar Peerzada氏に、チームが従来型のセキュリティプラクティスから開発者ファーストのセキュリティ戦略へ移行した方法について話を聞きました。講演の全編を視聴するか、引き続きハイライトをご覧ください。

https://youtu.be/BH2GY5GrsQM

レガシー環境からクラウドへ

Peerzada氏によると、創業100年のNeiman Marcusは、デジタルトランスフォーメーションにいち早く取り組んだ小売企業の一つでした。移行を始めた当初、同社は多くのレガシーインフラやアプリケーションを利用していました。オンプレミスシステムにつきものの課題（スケーラビリティ、パフォーマンス、セキュリティ）が、Neiman Marcusをオンプレミスの枠を超えてクラウドへ向かわせる主な要因となりました。

移行の道のりを描く：どのように進めたのか？

Mairaは「クラウドへの移行はどのようなものでしたか？その変革はどのように実現したのでしょうか？」と尋ねました。

十分な調査を重ねた結果、同社はクラウドパートナーにAWSを選びました。次に、組織全体にDevSecOpsのプラクティスを展開する責任を担う「Cloud Center of Excellence」というグループを設立しました。チームはパイプラインを構築し、各段階にセキュリティを組み込んでいます。また、開発者がセキュリティのガードレール内で作業できる、スケーラブルなアーキテクチャも提供しています。

Peerzada氏は、デジタルトランスフォーメーション時代のスケーラブルなアーキテクチャでは、セキュリティを損なわないことが極めて重要だと指摘しました。クラウドへの移行から6年目を迎えた現在、Peerzada氏のチームはワークロードの約90%をオンプレミスからクラウドへ移行しています。

重要な問いに答える：クラウドセキュリティの責任者は誰か？

Mairaはこう尋ねました。「クラウドへの移行を始め、実際に移行を進めてきたわけですが、セキュリティ面の取り組みはどのように始まりましたか？初期に得た教訓にはどのようなものがありましたか？」

どの組織も直面する、非常に重要な問いがあります。クラウドセキュリティの責任者は誰なのか？DevOpsチームでしょうか？従来型の情報セキュリティチームでしょうか？それともクラウドセキュリティチームを設けるのでしょうか？その答えを導くには、リーダーシップの指針が必要です。

Peerzada氏のチームは、Cloud Center of Excellenceがクラウドセキュリティプログラムの運営に最適だと判断しました。実務の最前線でプロセスに直接携わる「現場のチーム」だったからです。ただし、会社全体のセキュリティポリシーという大きな枠組みの中で運営する必要がありました。そのガードレール内であれば、チームはセキュリティに使用するツールを選べます。この決定により、Cloud Center of Excellenceは、変化の速い環境にある社内のプロダクトチームを妨げることなく、大規模に運用できるようになりました。

クラウドセキュリティのツールを見つける

チームはオンプレミス環境をひな型とし、オンプレミスとクラウドを「同じ条件で」比較しながら、AWSでコントロールの導入を始めました。しかし、オンプレミスと同じクラウドセキュリティの課題に直面しました。そこでチームはすぐにAWSのクラウドネイティブツールへと方針を転換し、妥当なコストでスピードを維持できるようになりました。

Peerzada氏のチームはAWSのセキュリティコントロールを導入しました。初めから自動化を重視し、複数のセキュリティ設計をデフォルトで適用し、すべてを暗号化しました。アイデンティティとアクセス管理のコントロールを厳格にすることで「基本的なサイバーハイジーン」を優先し、「ゼロトラスト」フレームワークの構築につなげました。また、重要なコントロールの自動修復も有効にしました。たとえば、AWS上のデータレイクでS3にオブジェクトを保存し、S3の暗号化を自動修復できるようにしました。

アプリケーションセキュリティを加える

続いてMairaは、クラウドセキュリティに取り組んだ後、静的アプリケーションセキュリティテスト（SAST）やソフトウェア構成分析（SCA）など、従来型のアプリケーションセキュリティソリューションをどのように導入したのか尋ねました。

Peerzada氏によると、チームはいくつかのオープンソースツールを使って、基本的なセキュリティチェックやコード品質チェックを行っていました。脆弱性のないクラウドインフラを本番環境に展開することに注力する一方で、より優れたアプリケーションセキュリティが必要だと気づきました。クラウドセキュリティで実現していたのと同じ頻度とフィードバックループをアプリケーションセキュリティにも適用し、2つのサイロをつなげたいと考えたのです。

「アプリケーションセキュリティにはギャップがありました。2つのサイロ、つまり2つの領域を何とかつなげ、適切な頻度で取り組み、クラウドセキュリティで実現していたフィードバックループを（同じように）アプリケーションセキュリティにも適用したいと考えていました。そこでSnykを検討し、まさに求めていたものだとわかったのです。」

チームはSCAプロセスの一環として、Snyk Open Sourceを使い、サードパーティの依存関係やパッケージをスキャンし始めました。次にSnykをGitリポジトリに連携し、どのような脆弱性が見つかるかを確認したところ、すぐに成果が表れました。Snykによって開発者が脆弱性を修正できるようになった価値を受け、Neiman MarcusはすぐにSnykのエンタープライズ顧客となりました。

Mairaは「開発者をセキュリティにもっと巻き込むために、どのようなことをしましたか？」と尋ねました。

チームはSnykを段階的に導入しました。まず、選び抜いた少数の重要プロジェクトだけで利用し、Gitリポジトリを連携させて、開発者が少しずつSnykの使い方を学べるようにしました。その後すぐに、開発者のオンボーディングでSnykの利用を必須にしました。開発者はIDEでSnykを使ってコードをスキャンし始め、セキュリティプラクティスへの関与も深まりました。こうしてPeerzada氏のチームは、開発者ファーストのアプローチの基盤を築きました。次のステップとして、開発パイプラインにSnykプラグインを追加し、DevSecOpsの自動化を徹底しました。

「導入の効果という点では、Snykと定期的に話し合う機会を設けています。隔週のミーティングでSnykのソリューションアーキテクトと話をします。脆弱性をSnykなしで修正する場合に必要となる作業時間を測定し、削減できた金額を理解するためのデータを提供してくれます。これは顧客にとって非常に重要なことで、実態を把握する機会になります。また、IDEでコードをスキャンしている開発者の一覧も提供してくれるため、そのデータをもとに開発者のセキュリティチャンピオンを特定できます。」

Neiman Marcusのサーバーレスファースト戦略では、さまざまなレイヤーが抽象化され、セキュリティの責任はますますクラウド側へ移っています。しかし、アプリケーションコードやライブラリは依然としてコンテナ上にあり、保護が必要です。そのためPeerzada氏のチームは、クラウドセキュリティポスチャ管理とアプリケーションセキュリティをつなぎ、開発者がセキュリティを後回しにせず、日々の業務の一部として取り組めるようにすることに注力しました。

開発者ファーストのセキュリティを構築して得た教訓

Peerzada氏は、自身の経験から得た最も重要な教訓として、次の点を挙げました。

クラウドセキュリティでは、アクセス管理のコントロールを含む基本的なサイバーハイジーンから始めましょう。これがゼロトラストアーキテクチャの構築に役立ちます。
対応できない情報を取り込まないことです。さまざまなツールを使って大量のアラートを生成している企業もあります。しかし、状況を踏まえたリスクベースの評価が必要です。海には魚がたくさんいます。狙うべきはサメです。
クラウドセキュリティはオンプレミスとは別のものとして捉える必要があります。異なるアプローチが求められます。クラウドセキュリティに取り組む際は、オープンソースツールの活用をためらわないでください。
クラウドセキュリティポスチャ管理とアプリケーションセキュリティのサイロをつなぎ、1つのものとして扱いましょう。Snykが単一のポリシーエンジンとして実現していることは、本当に素晴らしいです。これらのサイロを一体として捉えれば、堅牢なサイバーセキュリティフレームワークを構築できます。

AWS re:Inventで体験を共有してくださったOmar Peerzada氏に感謝します。Snykが組織の開発者を支援し、セキュリティをワークフローに組み込めるようにした事例を紹介できることを嬉しく思います。