WillowTree座談会：急成長企業のセキュリティ

現代のソフトウェア企業は、一度に多くのものを提供することがよくあります。事業は単一の製品やサービスにとどまらず、そのスピードに合わせてセキュリティツールも進化する必要があります。SnykのField CISOであるSteve Kinmanと、WillowTreeのサイバーセキュリティ責任者であるAdrian Guevaraが最近、変化の速い環境でコードセキュリティを導入する際に急成長企業が直面する課題について、座談会を開催しました。

WillowTreeは、さまざまな有名なFortune 500企業向けにアプリケーションを開発するデジタルエージェンシーです。エージェンシーとして「WillowTreeは多くのプログラミング言語を扱います」とGuevaraは語ります。「ここでお話しする課題の一つは、単一の言語、プラットフォーム、製品だけを扱うわけではないということです。企業向けの製品を開発し、それをお客様に引き渡しています」。多くの高リスクプロジェクトを同時に進めるなか、Guevaraは組織におけるイノベーションとセキュリティ意識の両立を重視しています。

座談会でGuevaraは、WillowTree独自のニーズに合ったツールセットを選び、セキュリティのベストプラクティスを定着させた経験を語りました。

セキュリティ重視への転換

監査とコンプライアンスの業務経験を持つGuevaraが現在の役職に就いた当初、「クライアントは、WillowTreeが社内で実施しているセキュリティ対策をあまり気にしていませんでした」。しかし、ここ数年で状況は大きく変化したといいます。「今では、すべての依存関係を一覧にするよう求められます。GPLライセンスを使っていないことや、使用するコンテナ、ライブラリ、プログラミング言語に重大な脆弱性がないことを確認したいのです」。

コードセキュリティへの関心の高まりは、Guevaraが6年間在籍するなかで社内で進めてきた取り組みとも重なります。彼が入社した当初、セキュリティ対策は主に静的スキャンで、開発プロセスの外にあったためコストも高くなっていました。セキュリティチームを拡大し続けるのが難しくなるなか、セキュリティを向上させる最も効率的かつ効果的な方法は、開発プロセスに組み込むことでした。WillowTreeにとって、モダンでアジャイルな開発ワークフローの導入が鍵となりました。Guevaraはこう説明します。「セキュリティを、最も手間のかからない方法にしました。そうすれば、こちらがあまり介入しなくても、開発者が自然とその方法を選ぶようになります」。

開発者中心のセキュリティの導入は、WillowTreeのシニア開発者から始まりました。セキュリティツールを試して選定プロセスに参加してもらうことで、Guevaraは彼らの意見を取り入れ、ニーズを話し合う場を設けました。セキュリティ文化を成功させるには、「まずシニア層の賛同を得ることが第一歩」だと考えたのです。

「シニア開発者の意見は私の意見よりも重要でした。ツールを気に入らなければ、使ってもらえないからです」

Adrian Guevara

Guevaraによると、「セキュリティチームがやってほしいこと」から「Adrianがやってほしいこと」へと捉え方を変えることが、セキュリティチームと開発チームの隔たりを埋めるうえで重要でした。セキュリティチームにとって、自分自身を身近に感じてもらい、依頼の重要性を説明することで、「開発者との関係が大きく変わります」。結局のところ、開発者もセキュリティ担当者も同じチームの一員です。成果を出すにはコミュニケーションとコラボレーションが不可欠であり、その出発点となることが多いのが、チームが選ぶツールです。

セキュリティプラットフォームの選定

Guevaraが開発者向けセキュリティツールの評価を始めたとき、解決すべき主な課題は3つありました。WillowTreeの既存のセキュリティプロセスはノイズが多く、時間がかかり、開発ワークフローの外にあるため持続不可能でした。開発者はセキュリティスキャンを忘れずに確認する必要がありましたが、スキャンには時間がかかり、大量の誤検知が発生していました。その後、必要に応じて脆弱性レポートをワークフローに組み込む必要がありましたが、開発に追われるうちに忘れられることも少なくありませんでした。その結果、セキュリティチームが介入して脆弱性を自ら修正し、その修正を開発者に戻してスプリント計画に組み込んでもらう必要がありました。こうした手順を毎回繰り返していては、すぐに継続できなくなります。

試用期間中にSnykが際立っていたのは、そのワークフローが、Guevaraが導入を進めていたアジャイル開発のワークフローと合致していたからです。開発者は優れたテクノロジーを喜んで使います。「そのおかげで、SnykをIDE、PR、CIに導入でき、作業がずっと快適になりました。使い方を教える必要すらありませんでした。Snykは、問題の原因と修正方法をより適切に示してくれました」とGuevaraは語ります。WillowTreeのチームにとって、セキュリティの知識を深め、特定の修正を適用する理由を理解することは、開発者が積極的に参加するセキュリティ文化を築くうえで不可欠でした。ツールを比較したところ、Guevaraによれば「以前のツールでは利用率が約20%でしたが、Snykでは90%にまで上がりました」でした。Snykの直感的で使いやすいインターフェースにより、チームはより効率的にセキュアなコードを作成でき、平均修正時間は58%短縮されました。「脆弱性の解決にかかる時間は、平均60日でしたが、今では25日です」とGuevaraは述べています。

Snykがもたらした定量的な改善は目覚ましいものでしたが、決め手ではありませんでした。Guevaraはこう語ります。「Snykを選んだ理由は、パートナーシップです。誤検知やノイズは減り、ワークフローも気に入っていましたが、良いパートナーになってくれるかどうかが重要でした」。脆弱性をスキャンしてレポートを提供するツールは数多くありますが、成長中のWillowTreeのセキュリティプログラムに必要だったのは、今後もともに取り組む意思のある、開発者中心のパートナーでした。「最終的な決め手はパートナーシップでした。当時、Snykはすべてのプログラミング言語に対応していたわけではありませんでしたが、パートナーとして連携するなかで、必要な言語への対応を働きかけることができ、今のところうまくいっています」とGuevaraは述べています。

セキュリティとイノベーションの両立

WillowTreeはここ数年、急速な成長を続けています。相次ぐ事業拡大と買収により、3社にまたがる従業員は開発者1,000人にまで増えました。それぞれの会社に独自の要件やプロセスがあり、エージェンシーとして、WillowTreeがクライアントのツールやチケット管理システムを使うこともよくあります。こうした状況のなかで、Guevaraは「Snykはすべてのプロジェクトを結び付ける共通の軸です」と語ります。Guevaraとチームにとって、Snykは部門横断的なコラボレーションの基盤であり、急成長企業のスピードの速い環境でセキュリティを確保するための実践をWillowTreeが確立し、維持するのに役立っています。

多様なクライアントのセキュリティ基準への対応が必要なエージェンシーにも、社内チームのコードセキュリティを強化したい組織にも、Snykが役立ちます。今すぐ無料トライアルを始めるか、デモを予約して、開発スピードとセキュリティを両立するSnykの活用方法をご確認ください。