SnykがShutterstockに聞く、DevSecOps文化の構築方法

最新のセキュリティツールを導入するのは比較的簡単ですが、新しいセキュリティプロセスをうまく展開できるかどうかは、企業文化に大きく左右されます。実際、アプリケーションセキュリティにDevSecOpsのアプローチを取り入れるうえで、最大の課題の一つとなるのが、全社的な定着です。

先日開催されたウェビナーで、SnykのDeveloper Relations & Community担当VPであるSimon Mapleが、ShutterstockのProduct and Application Security担当ディレクターであるChristian Bobadillaと、DevSecOps文化の構築について話しました。ここでは、その内容を簡単にご紹介します。

変化するアプリケーション開発の環境

クラウドネイティブコンピューティングによって、企業のソフトウェア開発の方法は大きく変わり、それに伴ってアプリケーションの構築とデプロイのスピードも加速しました。クラウドネイティブなアプリケーション開発が普及する前は、ほとんどの開発チームが、自社で記述する独自コードと利用するオープンソースライブラリだけに注力していました。しかし、現代のソフトウェア開発では、開発者が担う責任はかつてないほど大きくなっています。

「以前、開発者が注目していたのは、IDE内のコードとビルドシステムが取り込む依存関係でした」とMapleは説明します。「仮想化、ハードウェア、ネットワーク、サーバー、VMなど、プラットフォームに関わるその他すべては、通常、IT部門や運用チームが担当していました。クラウドネイティブアプリケーションの登場により、この状況は変わりつつあります。」

組織がデジタルトランスフォーメーションを進め、アプリケーションをモダナイズするなかで、開発者はマイクロサービスアーキテクチャ、コンテナ化、Infrastructure as Code（IaC）などを取り入れています。つまり、開発チームはアプリケーションのデプロイにおいても重要な役割を担うようになり、開発パイプライン全体にわたる開発者中心のセキュリティが求められています。

セキュリティプログラムの導入

Shutterstockには以前、セキュリティチームがなく、社内にセキュリティ文化や意識はほとんどありませんでした。このような環境で新しいセキュリティツールを導入するのは困難です。セキュリティ専門家のサポートがなければ、開発者は新たな責任を負うことに抵抗を感じるからです。そのためShutterstockは、開発者がアプリケーションセキュリティの当事者意識を持てるよう、チームとプログラムの構築に取り組みました。

「最初はいつも大変です。開発者は、セキュリティによって作業を妨げられると思っているからです」とBobadillaは語ります。「しかし私は、セキュリティは開発者がより優れた、安全なアプリケーションを構築するための支援だと考えています。アプリケーションセキュリティがなぜ必要なのかを繰り返し伝えることが、新しいセキュリティプロセスに開発チームの協力を得るうえで重要です。」

開発者とセキュリティの間にある壁を取り払うのは容易ではありませんが、開発者にAppSecへの関心を持ってもらうことは、欠かせない第一歩です。そこでShutterstockは、セキュリティをもっと楽しく学べるイベントやゲームを企画しました。セキュリティの取り組みを始めた当初、こうしたイベントによって組織内でセキュリティを意識する人が増え、セキュリティチームは開発者との信頼関係を築くことができました。

開発者に使いやすいツールを選ぶ

セキュリティを拡大することも、AppSecにおける大きな課題です。多くの組織では、セキュリティチームの規模が小さいためです。たとえばShutterstockのセキュリティチームは13人で、そのうちAppSecを担当するのはわずか2人です。一方、複数のチームやプロジェクトに分散する開発者は400人以上います。そのため、新しいセキュリティプロセスを導入する際は、摩擦を減らすために開発者に使いやすいツールを選ぶことが重要です。

定着しやすいツールとは、既存の開発ワークフローに自然に組み込めて、使いやすいものです。Shutterstockでは専任のAppSecチームを設ける前から、セキュリティスキャンにSnykを利用していましたが、開発者は何百もの脆弱性を無視していました。Shutterstockは、サポートやガバナンスなしに開発者に任せるだけでは、長期的にアプリケーションセキュリティの妨げになると気づきました。

「脆弱性の一覧を開発者に渡すだけでは不十分です」とMapleは言います。「問題を見つけるだけでなく、修正に必要な知見や知識、ツールを開発者に提供する必要があります。また、セキュリティチームはガードレールやポリシーを整え、開発者を継続的に支援する必要があります。」

少人数のセキュリティチームでAppSecを拡大する

脆弱性を検出するだけでは、ほとんどの組織でセキュリティ態勢を改善できません。小規模なAppSecチームには、すべての問題を修正するリソースがない場合もあります。そのため、効率を最大限に高めるには、ソフトウェア開発ライフサイクル（SDLC）の早い段階から開発チームの協力を得る必要があります。セキュリティツールには、開発者による修正を支援する、実行可能なフィードバックも求められます。

「DevOpsによって、より速いペースで本番環境にリリースできるようになりました」とMapleは説明します。「セキュリティもその一部であることを確実にし、できるだけ早い段階からデプロイまで継続してテストする必要があります。DevSecOpsでシフトレフトが重要なのはそのためです。」

ご覧のとおり、ソフトウェア開発にDevSecOpsのアプローチを取り入れるには、適切な文化、ツール、プロセスが必要です。Snykを選んだShutterstockは、開発ワークフローに緊密に統合できる、開発者に使いやすいツールを手に入れました。しかし、セキュリティに関する教育や意識はまだ十分ではありませんでした。Shutterstockのセキュリティチームが、セキュリティへの関心を高めるイベントを実施し、セキュリティプロセスのガバナンスを導入すると、AppSecの態勢を大幅に改善できました。新しいセキュリティツールやプロセスを導入するのは簡単ですが、DevSecOpsの考え方を組織に根付かせることが、成否を分けます。

ShutterstockのDevSecOpsへの変革について、さらに詳しく知りたい方は、ShutterstockがDevSecOpsをゼロから導入した方法のウェビナーをオンデマンドでご覧ください。