Comic Reliefの開発者がデジタルトランスフォーメーションの一環としてSnykを活用し、セキュリティを自動化して生産性を向上させた方法

Snykは、Comic Reliefがセキュリティを維持しながら、オープンソースの柔軟性を活用できるよう支援しました。開発チームの負担が軽減され、「サードパーティシステムのセキュリティのような、日常的な作業に集中する」必要がなくなりました。SnykはComic ReliefのConcourse CIサーバーレスデプロイパイプラインに簡単に統合され、経験の浅い開発者もSnykを使って脆弱なライブラリを事前に修正できるようになりました。

「膨大な数のサードパーティ製ライブラリについてデューデリジェンスを行うのは非常に困難です。十分にメンテナンスされているものはどれか？セキュリティ体制が実証されているものはどれか？Snykを知ったとき、『導入しない理由はない』と思い、すぐに使い始めるべきだと考えました！」

Comic Relief エンジニアリングプラクティスリード Peter Vanhee

課題

デジタルトランスフォーメーションを進める企業にとって、Comic Reliefの事例は共感できるものでしょう。デジタルトランスフォーメーションでは、ツール、コード、ビルドをすべて精査する「ウォーターフォール」型のアプローチから、開発チームがツールを自由に選択し、オープンソースライブラリを活用し、継続的にデプロイできる体制へと移行することが重要です。サードパーティ製ライブラリの利用は俊敏性と生産性を高める一方で、セキュリティリスクももたらします。Comic Reliefのエンジニアリング責任者であるGirish Nairは、次のように説明します。「Snykを導入する前は、古くなった依存関係が大きな懸念事項でした。各パッケージのセキュリティ体制や脆弱性を調査したり、手動でパッチを適用する仕組みを整えたりする時間はありませんでした」。Comic Reliefはリスクを極力避ける必要があり、セキュリティを非常に重視しています。「寄付者の期待に応えたいのです。寄付者のデータを失いたくありませんし、取引を拒否したくもありません。寄せられた信頼に応えたいのです」。安全性を保ちながら俊敏性を高め、オープンソースライブラリを利用することの両立は、大きな課題でした。「多大なリソースを投じずに適切なライブラリを選ぶ安全な方法がありませんでした。そのリソースは、ほかのことにもっと有効活用できるはずでした」。

Snykがどのように支援したか

Comic Reliefによるサーバーレスの活用は現在も進化を続けていますが、同社はConcourseの継続的インテグレーション・デプロイパイプラインにSnykを非常に簡単に統合できました。

デプロイパイプラインの一環として、Snykは使用中の依存関係に脆弱性がないかを確認できます。脆弱性が見つかると、デプロイは停止されます。また、Snykのセキュリティチームなどが新たな脆弱性を発見した場合や、アップグレードまたはパッチによる修正が利用可能になった場合は、メールとComic Reliefの開発チームのSlackチャンネルに通知が届きます。Snykからのアラートは毎日のスクラムでトリアージされ、Comic Reliefのチームが脆弱性修正の担当者を決定します。Comic Reliefは、若手開発者の育成に力を入れています。Snykの大きな利点のひとつは、脆弱性を簡単に修正できることです。Snyk CLIのsnyk wizardコマンドを使えば、あらゆるレベルの開発者が使用するサードパーティコードを安全にできます。

「Snykが開発者によって、開発者のために作られたことがよくわかります」

Comic Relief エンジニアリングプラクティスリード Peter Vanhee

導入の成果

Snykの導入後、Comic Reliefの開発チームはコードの開発に集中し、オープンソースライブラリのセキュリティはSnykに任せられるようになりました。「Snykの自動化によって、日常的な手作業によるセキュリティ業務に割いていた人員を、より生産性の高い機能開発に振り向けられるようになりました。新たな脆弱性を知らせるSnykのアラートは、すでに修正が含まれたプルリクエストとして届きます。そのため、長時間かかっていたトリアージから手動修正までの流れを、数分で完了するシンプルな「マージ」に短縮できました。」

「特に、スピード感を持って大きな成果を目指すアジャイルチームや、セキュリティを重視し、品質のあらゆる側面にこだわるチームにSnykをおすすめします。」

Comic Relief エンジニアリングプラクティスリード Peter Vanhee

Comic Reliefについて

Comic Reliefは、貧困のない公正な世界を目指す英国の大手慈善団体です。1985年の設立以来、3月に隔年で開催されるテレビ募金番組「Red Nose Day」と、姉妹プロジェクトの「Sport Relief」を通じて、英国で10億ポンドを大きく超える寄付金を集めてきました。2015年5月には、NBCが米国初の「Red Nose Day」を放送し、以降毎年開催されています。

Snykでどのように保護を強化できるか、詳しく知りたい方はお気軽にお問い合わせください：contact@snyk.io