Forbes Cloud 100企業におけるDevSecOpsでセキュリティを拡大

Snykが、ForbesとBessemer Venture Partners、Salesforce Venturesの協力により発表された、世界の有力な未上場クラウド企業100社を選ぶ決定版ランキングForbes 2020 Cloud 100に選出されました！

ソフトウェア開発、ソフトウェアデリバリー、そしてクラウドベースおよびデジタル環境のセキュリティに対する先進的なアプローチで業界を変革する、世界各国の企業が集うこの名誉あるリストに選ばれたことを光栄に思います。

「セキュアなデジタルトランスフォーメーションへの需要の高まりは、クラウドネイティブアプリケーションセキュリティに対する新しいアプローチの必要性を示しています。開発者を第一に考えたセキュリティを提供するという私たちの使命が、パブリッククラウドコンピューティング市場における新たなリーダーシップの基準を築いていると認められたことを誇りに思います」と、SnykのCEO、Peter McKayは述べています。

このリストに選ばれた、市場をリードする組織に共通しているのは何でしょうか？

非常にダイナミックで俊敏なこの市場を見渡すと、クラウドサービスを構築、デプロイ、保護、サポートし、世界中の顧客に届けるための、現代的なアプローチが共通点として見えてきます。

私たちにとって、クラウドネイティブアプリケーションセキュリティへの現代的なアプローチは、スピード、自動化、コラボレーションを重視する、DevOpsを軸とした現代的な組織と切り離せません。ソフトウェアを構築して提供するクラウド企業にとっては、開発の初期段階からソフトウェア開発にセキュリティを組み込むことが、さらに重要です。

クラウド企業のセキュリティを再考する

競争力を維持し、業界内で差別化を図るために、テクノロジーやソフトウェアを活用する企業が増えています。その結果、開発のペースはかつてないほど速くなっています。

クラウドを活用すれば、組織はハードウェアや年に一度の大規模アップデートに頼る動きの遅いアプリを、オンデマンドソフトウェアに変えられます。新機能をビジネスに加えながら、顧客の需要に応じて拡張することもできます。従来のセキュリティプロセスでは、この急速なイノベーションを支えられません。デリバリーパイプラインの各段階に設けられたセキュリティゲートが開発を遅らせるか、無視されてしまうためです。

クラウドがITセキュリティをAppSecへと変革する仕組みについて詳しくは、こちらをご覧ください ブログ記事。

開発者を第一に考えたセキュリティとDevSecOps

DevSecOpsは、人、プロセス、ツールを通じて開発の早い段階からセキュリティを組み込むアプローチです。チームの自律性を高め、ビジネスの足を引っ張るのではなく、その成長を加速させます。つまり、開発者が主導し、セキュリティの専門家がパートナーとして変革を後押しします。開発者を第一に考えたセキュリティでは、セキュリティ設計、テスト、バックログ、修正を開発者の日常的なワークフローに組み込みます。開発チームの自律性を高め、開発中のアプリケーションを安全にすることで、開発のペースを加速させます。 

このようなシフトレフト型のセキュリティモデルへの移行を成功させるには、次の重要な要素が必要です。

• セキュリティのメンタリング。実装者からメンターへと役割を変えるのは簡単ではありません。責任が開発チームへ移る中で、セキュリティの専門家による指導や教育が必要です。セキュリティチームが知識を共有し、開発者の力を引き出せば、アプリケーションのセキュリティ確保を共同の取り組みとして、より効果的に進められます。

• 適切なツールを用意する。メンタリングで教える内容は、開発者が日々使うツールにも反映する必要があります。開発者を最も重要なユーザーと捉えるセキュリティソリューションが、開発者を第一に考えたセキュリティモデルの成功には不可欠です。「開発者はセキュリティを気にしない」という根強い誤解がありますが、私たちはそうは考えていませんし、最も成功しているお客様を見てもそうではありません。一方で、開発者がますます速い開発を求められる中、新たなセキュリティ上の責務が次々と加わるという緊張関係は見て取れます。つまり、多くの開発者は実際にセキュリティを気にしていますが、セキュリティ上の違反を大量に列挙する従来型ツールは役に立ちません。新しいDevSecOps時代に求められるのは、開発者ツールのようなソリューションです。実際に開発者ツールなのです。必要な人が確認できるセキュリティの詳細情報を提供しながら、まずは問題の修正に必要な情報を、開発ワークフローに自然な形で摩擦なく組み込みます。これにより、開発者への定着が大きく進みます。

組織のDevSecOpsプログラムを導入・改善するためのヒントは、Gartnerの推奨事項をご覧ください。DevSecOpsを導入したばかりの組織も、長年実践している組織も、ぜひお話ししましょう。

さあ、始めましょう