課題：ライセンス違反やセキュリティの脆弱性にできるだけ早い段階で対処する
クラウドファーストの企業であるCoveoは、マイクロサービスを重視しています。CoveoではDevOpsモデルを導入していましたが、開発者が必要なときに自ら定期的な脆弱性スキャンを実施するためのツールがありませんでした。DevOpsを十分に実践するには、本番環境に移行する前に、すべてのオープンソースパッケージとコンテナイメージをスキャンして脆弱性を確認することが不可欠だとCoveoは認識していました。また、ベンダーパートナーが突然サービスの提供を打ち切ったため、新たなライセンスコンプライアンスソリューションも必要としていました。
ソリューション：ライセンス管理とオープンソースおよびコンテナのセキュリティを1つのサービスで実現
Coveoは当初、ライセンス管理のためにSnykを導入しました。新たな脆弱性管理ツールを選ぶ段階になった際、チームはSnykを候補に加えました。
他の選択肢とSnykを比較した結果、Coveoはライセンス管理と脆弱性レポートを1つのプラットフォームに集約するため、Snykを選びました。Snykを使えば、DevOpsチームは脆弱性を特定し、最新のセキュリティ修正を適用した状態を維持できます。現在、これがCoveoの開発者にとってSnykがもたらす最大のメリットです。
Coveoのセキュリティアナリスト、Jean-Philippe Lachance氏は次のように語ります。「Snykを使えば、本番環境にリリースする前に脆弱性を確認できます。そうしなければ、脆弱性が原因で事業を継続できなくなるかもしれません。」
Coveoが技術面で最も評価しているのは、Snykの使いやすさです。また、特定のユースケースではUIよりAPIを使いたいという開発者のニーズに応え、Snyk APIも活用しています。Coveoは最近、脆弱性の深刻度や発見日を知らせるアラートシステムを構築し、Slackと連携させました。これにより開発者はすばやく対応し、デプロイパイプラインでブロックされる前に問題を修正できます。デプロイパイプラインは、脆弱性の深刻度や経過期間に基づいて新たな脆弱性を検出すると、デプロイを阻止します。
オープンソース依存関係とコンテナの脆弱性を継続的に修正
Snykはライセンス管理と脆弱性スキャンを組み合わせ、Coveoの開発者が担当するサービスのセキュリティに責任を持てるようにします。従来のコンテナセキュリティソリューションの管理やアップグレードが次第に難しくなった際、Coveoは再びSnykを選びました。コンテナイメージも保護できる、シンプルで開発者に使いやすいツールを1つ利用できる点がCoveoにとって魅力でした。
Jean-Philippe氏は次のように語ります。「Snykは使いやすいSaaSサービスです。本番環境に移行する前にコンテナイメージを検証できる、信頼性の高いソリューションが必要でした。Snykのおかげで、簡単に検証できています。」
効果：可視性の向上とセキュリティ強化
Snykにより、Coveoはライセンス管理と脆弱性管理の両方を担うプラットフォームを1つに集約できました。
Snykは、オープンソースの脆弱性を把握して優先的に対処し、著作権侵害を回避できるという安心感をCoveoとその顧客に提供します。Coveoはセキュリティを重視していることを顧客に示し、信頼できるテクノロジーパートナーであることを証明できます。
「Snykのおかげで、脆弱性やスキャン結果を確認するプロセスに、より簡単に従えるようになりました。私たちにとって大きな文化的変化でしたが、Coveoに大きなメリットをもたらしています」とJean-Philippe氏は語ります。
SnykはCI/CDパイプラインに直接統合されているため、Coveoの開発者は適切なセキュリティプロセスに従うことができます。また、Snykはオープンソースであるため、開発者は独自のニーズに合わせてSnykを調整したり、バグを修正したりでき、ツールを高い自律性で活用できます。
開発者が自らセキュリティに対応できる環境を実現
Snykの導入により、DevOpsチームのメンバーは、脆弱性をより自律的かつ効率的に管理できるようになりました。各チームのSecurity Championは、脆弱性を監視し、対処方法とその時期を自ら判断できます。
CoveoのDevOpsチームには監督機能が設けられていますが、セキュリティ対策の優先順位付けは各チームに任されています。Snykが「信頼しつつ検証する」というアプローチを支援していることが、組織全体での導入を大きく後押ししました。
Jean-Philippe氏は次のように語ります。「Snykのホステッドサービスは、Coveoにとって管理がとても簡単です。今では開発者が自ら脆弱性とライセンスを管理できるようになりました。」
Coveoは、顧客満足度チームがニーズにすばやく対応し、ユースケースや時間とともに変化するニーズに合わせて製品をカスタマイズできる点も評価しています。Coveoが他のセキュリティチームに勧めるのは、セキュリティに積極的に取り組み、開発の早い段階からできるだけ早くSnykを使い始めることです。