課題：テクノロジーを最優先する組織への変革
Acuityはこれまで、そして現在も、専門知識を持つエキスパート（SME）の提供に注力していますが、テクノロジーを通じた価値の提供へと移行しつつあります。その一環として、同社は独自のテクノロジーや自動化ソリューションを開発しており、Business Excellence and Automation Tools（BEAT）もその一つです。しかし、テクノロジーを最優先する企業へと変革を進めるなかで、金融サービス顧客が同社のテクノロジーをより安心して利用できるよう、アプリケーションセキュリティを優先する必要性を認識しました。
「データ、プラットフォーム、インフラのいずれに関するセキュリティも、当社にとって最優先事項です」と、Acuity Knowledge Partnersのエンジニアリング責任者であるSameer Goyal氏は述べています。「金融サービス企業と取引しているため、考慮すべきコンプライアンスや監査の要件が数多くあります。」
ソリューション：SDLCへのSnykの導入
テクノロジーをリードする企業として、Acuityは社内向けのデジタル生産性ツールや、顧客向けのセルフサービス型デジタルアプリ、その他のデジタルサービスおよびソフトウェアソリューションの開発を、グローバルチームに委ねています。実際、研究開発（R&D）部門であるBEATには、開発者、テスト自動化エンジニア、UXデザイナー、プロダクトオーナーなど、200人を超える人材が在籍しています。Acuityはここ数年でテクノロジープログラムを正式に整備するなか、大規模かつ拡大を続けるR&Dチームの開発パイプラインに統合できるアプリケーションセキュリティツールが必要だと認識しました。
「セキュリティへの取り組み方は2つあります」とGoyal氏は説明します。「まず何かを構築し、問題は後から修正する方法です。より良いのは、開発プロセスの最初からセキュリティを組み込むことです。そのため、私たちはSnykを採用しました。」
開発者を第一に考えるSnykのセキュリティアプローチは、問題が本番環境に到達するのを防ぐだけでなく、開発者がセキュリティツールを導入しやすくしました。AcuityはSnykをビルドパイプラインに統合し、脆弱性を自動でスキャンできるようになりました。これにより手作業が不要になり、ビルドが成功すればリリースに必要なセキュリティ要件を満たしていることが保証されます。
「Snykのおかげで、開発から本番環境へのデプロイプロセスが大幅に短縮されました」とGoyal氏は明かします。「セキュリティ基準を満たしているか心配することなく、より迅速にリリースできます。」
Microsoftの技術スタックとのスムーズな統合
Acuityの技術スタックはMicrosoftのエコシステムを中心としているため、開発者は主に.NETフレームワークとVisual Studio IDEを使ってアプリケーションを構築しています。Visual Studio Marketplaceで提供されるSnykのIDEプラグインとコマンドラインインターフェース（CLI）により、Acuityは既存のビルドプロセスにスキャンツールを簡単に統合できました。現在Acuityは、Snyk Open Sourceを使ってサードパーティ製.NETパッケージの脆弱性を検出し、修正できます。
「当社は主にMicrosoftの技術を採用しており、開発者は日々Visual Studioでコードを書いていました」とGoyal氏は説明します。「Snykを選んだ主な理由の一つは、Visual Studioとの統合機能がすぐに使える状態で提供されていたことです。また、そのセキュリティ機能は、当社のエコシステム内の他のテクノロジーともよく調和しています。」
Acuityは、インフラ構成の保護にもSnyk Infrastructure as Codeを使用しています。同社の開発環境と本番環境は、Amazon Web Services（AWS）上でTerraformにより管理される数百台のサーバーで稼働しています。SnykはTerraformファイルの脆弱性をスキャンできるため、これらすべてのサーバーにわたってAcuityの環境を安全に保てます。
導入効果：セキュリティとコンプライアンスを積極的に改善
Snykの導入により、Acuityは金融サービス顧客が求めるセキュリティおよびコンプライアンス要件に常に対応できるようになりました。このセキュリティツールにより、開発者はデリバリーを遅らせることなく、アプリケーションのセキュリティ態勢を積極的に改善できています。コンテナ化されたデプロイへの移行に伴い、同社はSnyk Containerも活用して、ソフトウェアをさらに保護したいと考えています。
「Snykが脆弱性データベースを更新する速さは、他社との明確な差別化要因です」とGoyal氏は話します。「新たに特定された脆弱性がデータベースに反映されるまで、数週間、あるいは数カ月かかる他社のデータベースも見てきました。Snykのおかげで、セキュリティ上の問題を自動的に把握し、常に最新の状態を保てます。」