Snyk導入を成功させるためのベストプラクティス

著者

Or Feuer

2019年8月6日

0 分で読めます

Snykをご購入いただいた多くのお客様から最初に寄せられる質問は、「では、社内全体にどうやって製品を展開すればよいのでしょうか？」というものです。セキュリティの専門家が開発チームを巻き込み、セキュリティテストを開発プロセスの早い段階に移行しようとしている場合もあれば、エンジニアリング担当VPがパイプラインのどこにSnykを組み込むのが最適かを検討している場合もあります。Snykのカスタマーサクセスマネージャーとして、私たちはこの質問をよく耳にします。

取り組みを確実に加速させる基本的な条件がいくつかあります。たとえば、すでにセキュリティに関わっている開発者、取り組みを後押しする経営陣、あるいはコンプライアンス上の課題などです。

では、こうした条件が自社に当てはまらない場合はどうすればよいのでしょうか。Snykでは、数多くのお客様と協業してきた経験から、進め方の全体像を把握しています。しかし、この質問に最も的確に答えられるのは、Snykの導入にすでに成功したお客様自身だと考えています。そこで、実際に導入を成功させたお客様からアドバイスを集めることにしました。

まず、特に導入がうまくいっているお客様に一連のインタビューを実施しました。この課題について幅広い視点を得るため、規模や業界、好んで使うツールが異なるお客様を選びました。組織構造がまったく異なるお客様や、Snykを導入する動機と目標がそれぞれ大きく異なるお客様にもお話を伺いました。そこで得たアイデアを整理し、開発プロセスにSnykを組み込み、セキュリティの脆弱性を修正し始めるための、最も効果的で包括的なベストプラクティスのモデルを作成しました。

このモデルは、次のステップで構成されています。

チーム — 導入を始めるのに適したチームを見つける
トレーニング — 組織固有のニーズに合わせてユーザー向けのトレーニングを設計する
KPI — 目標に合った明確なKPIを設定する
ポリシー — Snykから得た情報をユーザーがどのように扱うべきかを定める正式なプロセスを確立する
インテグレーション — ソフトウェア開発ライフサイクル（SDLC）の重要な段階にSnykを導入する
フィードバック — チームにフィードバックを提供する

それぞれ詳しく見ていきましょう。

導入を始めるのに適したチームを見つける

導入に成功したお客様の多くは、まず1つのチームを巻き込むことから始めました。小さく始めるのは少し慎重すぎるように聞こえるかもしれません。しかし、お客様から伺ったところ、小さく始めることで、さまざまな方法を試し、開発者が好む働き方について知見を得て、それに応じて調整する余地が生まれます。

どのチームから始めるかも重要です。ほかのチームに影響を与え、手本となる開発チームを見極めましょう。そのチームが順調に稼働し始めれば、Snykの評判はほかのチームにも自然に広まり、社内からSnykの導入を求める声が上がるようになります。

社内向けのトレーニングリソースを提供する

Snykでは、ビデオ通話でのトレーニングセッション、トレーニング用スライド、ブログ記事など、さまざまなトレーニングリソースを提供しています。これらを社内で共有し、開発者のセキュリティへの関心を高めているお客様もいます。また、自社固有の作業方法に合わせて、独自のトレーニング資料を作成したお客様もいます。ある大手のお客様では、セキュリティチームがデモ動画を作成し、インテグレーションを始める際に各チームへ紹介しています。この動画には、組織内の開発チームが使用している具体的なインテグレーションやプログラミング言語がすべて含まれています。

別のお客様から教えていただいた、情報共有のもう1つの優れた方法は、Snykについて話し合うための社内Slackチャンネルです。開発者がベストプラクティスを共有したり、互いに質問したりしています。仲間同士の知識共有は優れたトレーニング方法であり、口コミを通じて情報を素早く広めることにもつながります。

明確なKPIを設定する

どのプロジェクトでもそうですが、組織全体にSnykを展開する際は、計画段階で明確なKPI目標を定めましょう。チーム単位でも会社単位でも、プロセスの開始時にKPIを社内で共有し、開発者がSnykの導入当初から目標に向かって取り組めるようにすることが大切です。お客様からは、Snykに追加するプロジェクト数の増加、脆弱性の総数の削減、修正件数の増加などをKPIとして設定していると伺っています。これらはSnykのUIのレポートタブでも確認でき、APIからも利用できます。そのため、あなたやチーム、開発者がこうしたKPIを簡単に追跡できます。

標準ポリシーを確立する

測定可能なKPIを設定すれば、目標が明確になります。さらに、ポリシーや手順を整備することで、目標達成に向けた明確で確実な道筋を示せます。お客様からは、新たに公表された脆弱性への対処方法を定める枠組みを作り、脆弱性の種類ごとに修正期限を設定していると伺っています。また、脆弱性の種類ごとに対処すべき段階を定め、Jiraチケットの起票から、どのチームメンバーがどのプロジェクトを担当するかまで、脆弱性を追跡することもできます。チームと事前にガイドラインを決め、最終的な計画を共有しておけば、問題が発生した際に開発者が対処しやすくなります。

SDLCの重要な段階にSnykを導入する

Snykは、CLIインターフェースやワンクリックのGitインテグレーション、CI/CDパイプラインの失敗ステージとしての組み込みなど、SDLCのさまざまな段階に導入できます。導入に成功したお客様からは、最初はSDLCの一部だけに組み込み、その後、ほかの段階にもSnykを追加したと伺っています。開始地点によってメリットは異なります。たとえば、Gitインテグレーションならチームの作業状況を把握しやすくなり、CIインテグレーションならより安全にデプロイできます。ニーズに最適な開始地点を選ぶ際は、開発チームにも参加してもらい、導入をあらかじめ認識してもらうことが重要です。また、Snyk CLIインターフェースやIDEプラグインの利用もチームに推奨しています。開発プロセスの早い段階にSnykを組み込むほど、発生した問題をより簡単に修正できます。

フィードバックを提供する

フィードバックはあらゆるプロセスで重要ですが、セキュリティ、そして多くの場合コンプライアンスに関わる導入プロセスでは、成功のためにいっそう欠かせません。KPIに基づいて開発者を評価する前に、チームが実際に導入作業を行ったか確認しましょう。プロジェクトを登録したか、修正を始めたか、といった点です。これを導入状況の可視性を高める出発点にできます。開発チームがテストと修正を始めたら、四半期または毎月など、定期的にKPIを見直し、チームの進捗を確認することが大切です。お客様の中には、優秀なチームを称えるスコアボードを作成しているところもあります。どの方法を選ぶにしても、チームの進捗を振り返ることで、チームを後押しし、セキュリティ状況をより適切に把握し続けられます。

これらのステップを一部またはすべて取り入れる場合、順番は問いません。ただし、プロセス全体を通じた重要なポイントは、開発チームを巻き込むことです。Snykは開発者のために設計されており、開発者に愛用されるツールを目指しています。導入プロセスで開発者に積極的な役割を担ってもらうことで、最後まで主体的に参加してもらいやすくなり、アプリケーションのセキュリティもより迅速に高められます。

安全な開発を！

続きを読む