SnykCon初日まとめ：Snyk Code、カーボンニュートラル、セッションのハイライト

著者

Ravi Maira

2020年10月22日

0 分で読めます

SnykCon 2020の初日が終了しました。この記事では、今日発表されたニュースをまとめ、視野を広げてくれるセッションの一部をご紹介します。ぜひご覧ください。明日の2日目もお楽しみに。

開発者ファーストのSAST、Snyk CodeがSnyk Platformを拡張

本日、開発者ファーストの静的アプリケーションセキュリティテスト（SAST）ソリューション、Snyk Codeをリリースしました。これにより、クラウドネイティブなアプリケーションセキュリティプラットフォームが拡張され、モダンアプリケーションを構成するすべての重要なコンポーネントについて、開発者がセキュリティ上の問題を可視化し、修正できるようになります。アプリケーションコードからオープンソースライブラリ、コンテナインフラストラクチャ、Infrastructure as Code（IaC）まで、1つのプラットフォームですべてを可視化し、修正できるようになりました。

なぜSnyk Codeを開発したのでしょうか。市場に出回っているSASTツールの多くは、率直に言って開発者にとって使いやすいものではありません。コードのリリースプロセスを遅らせ、誤検知が多く、効果的に活用するには高度なセキュリティの専門知識が必要な場合もあります。一方、Snyk Codeは、アプリケーションの問題や脆弱性を開発者が自動でリアルタイムに把握できるようにします。

この包括的なアプローチにより、開発チームの負担が軽減され、組織全体のセキュリティ体制も強化できます。

Snyk Codeと、Snyk Platform全体をどのように強化するのかについて詳しくは、こちらのブログ記事全文をご覧ください。

SnykがCarbonNeutral®認証を取得

サステナビリティに関する国際的な主要指針であるThe CarbonNeutral Protocolに基づき、CarbonNeutral®認証を取得したことを誇りをもってお知らせします。組織の効率化、外部の排出削減プロジェクト、再生可能エネルギーへの投資を組み合わせ、2,400トンに上る当社のカーボンフットプリントを相殺していきます。この目標は、Snykのカルチャーに沿って、従業員とリーダーシップチームが職場でも家庭でも、慎重かつ意識的に行動することで実現していきます。

カーボンニュートラルへの取り組みについて詳しくは、こちらのプレスリリースをご覧ください。

機能アップデートとその他の製品ニュース

コンテナテストと自動化に対応したSnyk CLIの機能強化

コンテナセキュリティ機能の提供を開始してから1年以上が経ち、Kubernetesとのインテグレーションなど、新機能を継続的に追加してきました。また、開発プロセスにスムーズに組み込めるよう、コアソリューションの改良も続けています。

Snyk CLIで、次のような新しいテスト機能を利用できるようになりました。

任意のレジストリからイメージを直接テスト
Dockerのビルド中にSnykテストを実行
対応するコンテナタイプを拡大
依存関係ツリーを出力
顧客ごとのフィルタリングに使えるJSON形式で出力
その他、多数の機能

Snyk Containerの新しい機能強化の使い方について詳しくは、Snyk Docsをご覧ください。

SnykのDockerfile SCMインテグレーション

本日、Snyk Containerのもう1つの機能強化として、GitリポジトリからDockerfileを直接検出できるようになったことを発表しました。Dockerfileを早い段階で簡単にスキャンできるため（イメージのビルド前でも可能）、チームはセキュリティと開発ワークフローにシフトレフトで取り組めます。この新機能により、最適なベースイメージを選び、脆弱性をできるだけ早く特定しやすくなります。

コンテナの導入が進む今、コンテナセキュリティのベストプラクティスを簡単に実践できるようにすることが、かつてないほど重要です。古く脆弱なベースイメージが原因で、後になって予期せぬ問題が発生するのを防げます。そうした問題は、修正が難しかったり、アプリケーションの動作に支障をきたしたりする可能性があります。

ぜひお試しください。

SnykCon初日：セッションのハイライト

今日のSnykCon初日が盛りだくさんだったことは、お気づきでしょう。開発とセキュリティの専門家が集まり、モダンな開発のベストプラクティスを共有し、磨き上げたパネルディスカッション、基調講演、その他のセッションから、ほんの一部をご紹介します。

セキュリティの見せかけをなくす

初日は、セキュリティの見せかけをなくすことをテーマに、Capsule8のプロダクト担当バイスプレジデント、Kelly Shortridge氏による示唆に富んだ講演で幕を開けました。開発者やDevOpsチームは安全なソフトウェアを提供したいと考えていますが、評価されるのはセキュリティではなく、リリースのスピードだとわかっています。これが開発とセキュリティの間に大きな対立を生みます。Kelly氏が指摘するように、情報セキュリティ部門はしばしば「何でもダメと言う部門」と見なされます。この関係が、必ずしもソフトウェアの安全性向上につながるとは限りません。つまり、不快なだけでなく、効果もないのです。

一部のAppSecツールではコードのチェックに時間がかかりすぎ、深刻度の低い脆弱性によってビルドパイプラインが中断され、大量の不要なノイズが発生します。シフトレフトは有益な考え方ですが、それだけでは問題は解決しません。問題をサイクルの早い段階に移すだけです。DevSecOpsも、進め方を誤れば成果が改善されないまま、セキュリティの見せかけを増やすことになりかねません。Kelly氏は、「私たち対彼ら」という考え方を変える必要があり、それは技術よりもカルチャーの変革だと述べています。

セキュリティは状況に適応できるものでなければならず、チームがすばやく簡単にテストと修正を行える必要があります。そのためにKelly氏は、次のような今後の取り組みを提案しました。

セキュリティのカオスエンジニアリングを導入し、インシデントから効率的に復旧できるようにする。
障害はシステムに付きものであると理解し、それを前提に計画を立てる。
セキュリティを協調的でオープンなものにする。セキュリティ部門を孤立させず、アドバイザーや知識の提供者として位置づける。
硬直した姿勢ではなく、システム全体の改善を評価する。

セキュリティカルチャー：必要な理由と、その築き方

カルチャーは戦略を朝食のように平らげる。
Peter Drucker

Elevate Securityの共同創業者、Masha Sedova氏は、セキュリティと行動科学の接点を長年研究してきました。彼女が掲げる大きな問いは、「どうすれば人々がセキュリティに自ら進んで取り組むようになるのか」です。Masha氏のセッションでは、Kelly Shortridge氏が「セキュリティの見せかけ」のセッションで提起した多くの考えがさらに掘り下げられました。

Masha氏が指摘するように、顧客の信頼は非常に重要です。信頼がなければ、ビジネスの成長は望めません。信頼はセキュリティの上に成り立ちます。顧客が企業を信頼できなければ、商品を購入したり、再び購入したりする可能性は低くなります。つまり、信頼こそがセキュリティの根本的な「なぜ」なのです。何よりも大切な信頼を築き、維持するために、レジリエンスの高い企業は、組織全体に前向きなセキュリティカルチャーを根づかせています。

セキュリティカルチャーには、目に見える行動だけでなく、信念、価値観、前提、経験も含まれます。すべての従業員が、セキュリティは自分の仕事の一部だと考えることが重要です。前向きなセキュリティカルチャーを持つ組織では、リーダーが過去に侵害を経験していることも少なくありません。そうした経験によって、セキュリティがより現実的なものとなり、リーダーの前提や信念が形づくられます。もちろん、前向きなセキュリティカルチャーを築くために侵害を経験する必要はありません。ただし、カルチャーを変えるには明確な意図をもって取り組む必要があります。

Masha氏が語るセキュリティカルチャーについてもっと知りたい方は、以下の動画をご覧ください。

Security Culture: Why You Need One and How to Create It - Masha Sedova

『The DevOps Handbook』を超えて：パネルディスカッション

パネルディスカッションの進行役は、GitHubのシニアプロダクトマネージャー、Sasha Rosenbaum氏。以下の方々が参加しました。

Gene Kim氏（IT Revolutionの創設者、著者）
John Willis氏（Red Hat、グローバルトランスフォーメーションオフィス担当シニアディレクター）、
Patrick Debois氏（Snyk、マーケット戦略ディレクター）

『The DevOps Handbook』が出版されてから5年が経ち、多くのことが変わりました。初版にもDevSecOpsの萌芽はありましたが、その後、この実践は大きく進化しました。パネルでは、DevOpsがどのように進化してきたのか、そしてDevSecOpsがその自然な帰結である理由について話し合われました。

パネリスト全員が、専門家も驚くほどDevOpsが広く大規模に導入され、DevSecOpsもすぐ後に続いていることに同意しました。DevOpsのカンファレンスは小規模から大規模になり、その実践も広く普及しています。

注目すべきポイントをいくつかご紹介します。

DevOpsやDevSecOpsに取り組んでいるのは、もはや大企業だけではありません。
銀行業界のように、これまで変革や技術導入の最前線に立つことが少なかった業界でも、DevOpsやカオスエンジニアリングなどの実践が取り入れられています。
『The DevOps Handbook』の出版以来、ツールは大きく進歩し、実際の現場でDevSecOpsを実践することがこれまで以上に簡単になっています。

パネル全編は、以下のリプレイをご覧ください。