Gene KimとGuy Podjarnyが語る、DevSecOps組織を拡大するためのヒント

SnykCon 2020で、作家・研究者のGene Kimが、Snykの共同創業者兼社長であるGuy Podjarny、そしてSnykのVIPメンバー数名と、（Sec）DevOpsのこれまでと現在、そして取り組みから最大限の価値を引き出すための戦略について語り合いました。

哲学的な問いから実際の導入事例まで話題は多岐にわたり、GeneとGuyはともに、優れた業績を上げる企業を率い、研究してきた自身の経験から得た貴重な知見を共有しました。

会話から得られた、特に興味深いポイントをいくつかご紹介します。

道のりはまだ長い

まずGuyは、DevOpsはセキュリティにとってプラスなのか、それともマイナスなのかと問いかけました。DevOpsはセキュリティに役立つというのが共通認識ですが、さらに重要なのは、今日、高いパフォーマンスを発揮する企業にとってDevOpsはまさに現実だということです。セキュリティチームをはじめ、セキュリティに関わるすべての人が、SecDevOpsを機能させる方法を考える必要があります。

DevOpsの導入がどこまで進んだかについても話し合いました。GeneはDevOpsの普及に関する豊富な調査結果をもとに、業界全体で見ても、チームへの導入率は最大で約5%にすぎないと説明しました。DevOpsは理想的なあり方であり、進むべき道だと広く認識されている一方で、一般に普及し、当たり前になるまでにはまだ長い道のりがあります。

DevOpsをどう捉えるべきかについても話題になりました。ムーブメントなのか、肩書きなのか。Geneは、DevOpsを職務の肩書きに含めるのは、多くの場合、単に需要と供給を結びつける方法にすぎないと指摘しました。DevOpsは何よりも実践を指すものかもしれませんが、組織内でその人が担う仕事を表す言葉として使うことに、異論を唱える理由はありません。

会話の後半では、DevOpsのベストプラクティスを広め、さまざまな組織で導入を促進する方法を中心に話し合いました。専門家からのヒントをいくつかご紹介します。

ヒント：DevOpsとセキュリティを 簡単にする

GuyとGeneがともに挙げたのは、DevOpsとセキュリティをできるだけ簡単に実践できるようにすることの重要性です。どちらも戦略と運用のあらゆる側面に組み込む必要があります。そうすることで、誰もが主体的に取り組めるようになります。常に目指すべきなのは、摩擦を減らし、「正しいこと」をするための労力を最小限に抑えることです。

この考え方の一つとして、「DevOps」という概念を少し捉え直し、チームの取り組みを表す言葉として「プラットフォーム」に重点を置く方法があります。プラットフォームチームやDevOpsチームは、開発者がエンドツーエンドのアプリケーションをできるだけ簡単に構築できるプラットフォームの開発に投資すべきです。

Geneの言葉を借りれば、開発者がプラットフォーム関連の作業に費やす時間には、大きな機会費用が伴います。開発者はソフトウェアエンジニアリングの専門家であり、運用上の課題ではなく、ソフトウェア開発の問題に集中できるべきです。

ヒント：DevOpsが重要な理由をビジネスに示す

会話の参加者の一人から、DevOpsの成熟度が低い状況にどう対処すべきかという質問がありました。つまり、ビジネス部門の賛同が得られない場合、DevOpsへの変革をどう進めればよいのでしょうか。

Geneは、DevOpsが収益に直接どのような影響を与えるかをビジネスリーダーに示し、DevOpsに対するリーダーシップが事業の改善につながることを説明するよう勧めました。また、リーダーがこの責任を放棄した場合に何が起きるかを説明することも提案しました。別の方法として、ウォーターフォールからアジャイルに移行した組織の例を挙げることもできます。多くの場合、この移行による価値は明らかです。DevOpsへの移行を進める際に、アジャイルへの移行で得られたメリットを示せば、強い説得力を持たせられます。

さらにGeneは、短期的にも長期的にも、レジリエンスを高めるうえでDevOpsとセキュリティが欠かせないと指摘しました。直近のCOVID-19のような問題であれ、現在そして将来にわたる気候変動であれ、チームが対応できなければならない世界経済の変化は必ず起こります。SecDevOpsは、組織の動きを円滑にし、レジリエンスを実現する重要な手段の一つです。

最後にGeneは、ベンチマークや改善、リーダーシップのヒントを得るために、State of DevOpsレポートを参考にすることを勧めました。6年間にわたる調査と31,000人の専門家の知見は、見過ごせません。

ヒント：自由と混乱のバランスを取る

多くのDevOpsチームが直面する大きな課題の一つは、開発者が好みのツールを選び、効率的に働ける自律性を確保しながら、組織が混乱に陥るのを防ぐことです。目指すのは、開発チームを解放しながら、生産性も最大化することです。GeneとGuyは、この課題に独創的な方法で取り組んできた企業に着想を得た、役立つフレームワークをいくつか共有しました。

アプローチ1：ガードレール

あるチームはGithubを使ってツールの一覧を作成し、「推奨」「未評価」「使用回避」のラベルを付けていました。推奨ツールは組織がサポートする、理想的な選択肢です。未評価は、まだ評価が済んでいないツールです。使用回避は、セキュリティが十分でない、または何らかの理由で既存のワークフローやプロセスに適合しないと組織が判断したツールです。

アプローチ2：差別化につながらない重労働をなくす

別の大企業は、「差別化につながらない重労働をなくす」という方針を掲げました。つまり、組織全体で頻繁に繰り返されるプロセスがあるなら、それを一つの方法に統一すべきだということです。同社はこの考えを継続的インテグレーションのワークフローに適用し、実現までに数年を要したものの、すべてのエンジニアリングチームを一つのCIシステムに移行させました。こうした変更は当初は歓迎されないこともありますが、効率向上という大きなメリットがあります。

アプローチ3：舗装された道

3社目の大企業は、「舗装された道」と呼ぶ仕組みを作りました。これは、組織内で働くうえで「優れた状態」とは何かを共通の基準として定めることです。その基準に合致するテクノロジーを選定します。こうして組織は道を整備し、そこで働く人は誰もが、社内の多くの目的地に安全かつ迅速にたどり着く最善の方法だと理解しています。もちろん、あえて道を外れて、自ら切り開いて進むこともできます。やり方を強制されることはありません。それでも、整備された道には明確なメリットがあるため、多くの人がそれを選びます。

最後に

今回の会話では幅広いテーマを取り上げましたが、上記の知見には、ほとんどすべての組織で活用できる、特に参考になるポイントが含まれています。自律性と混乱のバランスを取るうえで、ここで紹介した3つのアプローチには共通点が多い一方、それぞれ異なる考え方を示しており、唯一の正解がないことを教えてくれます。

Guyの言葉を借りれば、「中央集権的なアプローチには明らかな効率性がありますが、俊敏性は損なわれます。物事を統一すべきか、異なるものにすべきか、そして『優れた状態』とは何かについて合意することが非常に役立ちます。」

自社でDevSecOpsを導入するにあたり、Snykがどのように役立つか気になりませんか？今すぐデモをお申し込みください！