Onna TechnologiesがSnykとSysdigを活用し、時間とコストを節約しながらSDLCを保護する方法

データ一元化ソフトウェア企業のOnna Technologiesは、SnykとSysdigを活用し、開発プロセスのあらゆる段階にセキュリティを組み込んでいます。

先日、OnnaのBrent Neal（セキュリティディレクター）、Mike Hoffman（セキュリティエンジニアリード）、Andrew Leeb（シニアソフトウェアエンジニア）に、データ保護とコンプライアンス、クラウドセキュリティの優先事項、そしてSnykとSysdigによるエンドツーエンドのコンテナセキュリティのメリットについて話を伺いました。

興味深い対談のハイライトをぜひご覧ください。

Q：Onna Technologiesについて、また顧客について教えてください。

Brent Neal：私たちはOnnaのセキュリティチームです。Onnaは、知識の発見を加速するデータ統合プラットフォームです。企業がコラボレーション、コミュニケーション、コンテンツアプリケーションから有益な知見を得られるよう支援しています。

OnnaのKnowledge Integration Platformは、Slack、Microsoft 365、Google Workspace、Zoomなど、現在広く使われているクラウドアプリケーションに接続し、電子情報開示（eDiscovery）、情報ガバナンス、ナレッジマネジメント、機密データや個人情報の共有状況の特定といった業務を支援します。

Dropbox、Lyft、Electronic Artsなど、世界有数のテクノロジー企業を支援し、時間とコストの削減、リスクの低減、知識の活用による競争力の強化に貢献しています。

Q：クラウドアプリケーションのセキュリティに関する優先事項について教えてください。

Brent Neal：お客様から期待され、私たちが24時間365日、確実に実現しなければならない重要な領域は3つあります。それは次のとおりです。

• 個人とその機密情報のプライバシーを守ること

• クライアントデータと業務活動の機密性を保つこと

• 適用される法規制を遵守すること

当社はKubernetesを採用し、すべてをコンテナ化しているため、完全なコンテナセキュリティの実現にSnykとSysdigを利用しています。これらのソリューションにより、脆弱性をすばやく特定し、修正の優先順位を付けられるようになり、脆弱性管理プログラムが強化されました。また、本番環境での脅威検知にはSysdigも活用しています。主なメリットは、セキュリティ体制の大幅な強化、コンプライアンス要件への対応の容易化、監査に必要な証跡収集の簡素化です。

Snykを使うことで、真のシフトレフトセキュリティを実践でき、パイプラインの早い段階で脆弱性やライセンスの問題などを特定できるため、時間とコストを節約できます。また、最先端のソリューションでデータとプライバシーを保護しているとお客様に知っていただくことで、Onnaへの信頼も高まります。

Q：Onnaではオープンソースセキュリティをどの程度重視していますか？

Mike Hoffman：オープンソースセキュリティは、Onnaにとって最優先事項です。もちろん、オープンソースソフトウェアの利用には多くのメリットがある一方で、リスクも伴います。アプリケーションの依存関係やライブラリには、ライセンスの問題から脆弱性まで、さまざまな問題が生じる可能性があることを認識しています。

しかし、Snykのソフトウェア構成分析（SCA）機能により、使用しているライブラリや依存関係をより詳しく把握できるだけでなく、開発中に脆弱性を検出して修正するという重要な機能も得られます。総じて、Snykによってソフトウェア開発ライフサイクル（SDLC）のセキュリティが大幅に向上しました。

Sysdigはもちろん、オープンソースツールを基盤に構築されています。同社が開発したFalcoは、今やクラウドネイティブの脅威検知における事実上の標準です。そのほか、Sysdigのオープンソース、OPAなども活用しています。Sysdigを使うことで、内部の仕組みを理解し、広く採用されている標準をエンタープライズ向けの機能と規模で利用できます。

Q：開発者向けセキュリティ運用（DevSecOps）の導入にあたり、主な課題は何でしたか？

BN：これまでのところ、DevSecOpsの導入で最大の課題となっているのは、開発スピードへの影響に対する懸念です。開発者に、既存のプロセスやワークフローにセキュリティをスムーズに組み込めるツールを提供することで、こうした懸念を和らげることを目指しています。

ビジネスの観点では、製品開発プロセスをできる限りアジャイルに保ちたいと考えています。Snykを使えばセキュリティをシフトレフトできるため、問題が後工程で発覚した場合と比べて、修正に必要な「手戻り」を大幅に減らせます。

現在、一部の開発者がSnykを使い始めており、チーム全体への展開を予定しています。すべての開発者が脆弱性を実際に確認し、パイプラインのかなり早い段階で対処方法を学べるよう、あらゆる場所にSnykを導入することが目標です。

Q：コンテナスキャンと静的アプリケーションセキュリティテスト（SAST）の導入を決めた理由は何ですか？

BN：多くの顧客向けセキュリティ質問票では、「SASTにはどのアプリケーションを使用していますか？」「コンテナをどのように保護していますか？」と尋ねられます。

Snykは、業界をリードする製品でこれらの質問に明確に答えることを可能にします。つまり、コードをスキャンし、顧客のデータを保護するために必要な対策を講じていると、安心していただけます。

Q：Sysdigを導入するきっかけとなったセキュリティニーズは何でしたか？

BN：テクノロジー面では、主に次の要件がありました。

1. 顧客データを保護し、社内のニーズを満たす、エンタープライズクラスのセキュリティ。これには、GKE環境のKubernetesセキュリティが含まれます。コンプライアンスに合格するだけでは不十分で、本番ワークロードを守る強力なリアルタイム検知が必要です。

2. 本番環境に到達する前にリスクのあるビルドや設定をブロックするための、脆弱性と設定ミスのスキャン機能。

3. 開発者が実際のリスクにつながる問題を修正できるようにする、脆弱性修正の優先順位付け。

Sysdigはこれらの要件を満たし、セキュリティを大幅に強化する機能を提供してくれました。脆弱性の優先順位付けと正確な脅威検知により、開発者、DevOps、セキュリティチームの時間を節約できます。

Sysdigチームから継続的にサポートを受けられることも、大きなメリットです。初めて会ったときから、Sysdigは非常に迅速に対応してくれ、問題解決もスムーズです。Onnaにとって、このような関係は非常に重要です。

Q：Sysdigのランタイムセキュリティをどのように活用していますか？環境で有効にしているポリシーの例を教えてください。

MH：Sysdigの最大のメリットは、セキュリティ体制を強化できることです。Sysdigは、自社と顧客の情報を安全に保ち、社内ポリシー、法規制、顧客との契約上の義務を遵守するために必要なツールと可視性を提供してくれます。

Sysdigは強力なホストベースのセキュリティソリューションを提供し、多様な潜在的脅威から環境を効果的に監視できます。システムへの不適切なアクセス、ネットワークツールの使用、特定のファイルやディレクトリの変更、環境内での横方向の移動を検知するポリシーを設定しています。アラートを提供するだけでなく、環境内で各コンポーネントが通常どのように動作するかをセキュリティチームが把握するのにも役立ちます。

Q：SnykとSysdigを連携することで、どのようなメリットや成果を期待していますか？

BN：SnykとSysdigの連携により、シフトレフトのアプローチをさらに磨き、コストを削減し、製品や機能をより迅速に提供し、セキュリティ体制を強化できると考えています。今年の終わり頃に連携を展開した後、主なユースケースとなるのは優先順位付けです。最終的には、どのセキュリティ上の問題を修正すべきか、またその優先順位をどう付けるべきかを、より的確に判断できるようになります。

Q：統合型のソフトウェアセキュリティツールへの投資をためらっている組織に、どのようなアドバイスをしますか？

BN：シフトレフトセキュリティを実践しないことで生じる手戻りのコストや時間の損失を、組織で分析することをお勧めします。セキュリティをシフトレフトするほど、SDLCにセキュリティを直接組み込むことで、大幅なコスト削減と効率向上を実感できるでしょう。

SnykとSysdigの力をぜひご自身でお確かめください

エンドツーエンドのコンテナセキュリティを維持しながら、Kubernetesアプリをより速くリリースしませんか？SnykとSysdigを連携すれば、放置すれば修正に数カ月かかる脆弱性を最大95%まで迅速に解消できます。