課題：開発の遅延を招かずに脆弱性を発見・修正する
DFDSには豊かな歴史があります。150年前に貨物輸送を開始し、現在では世界各地で物流業務を手がけています。DFDSは大きく2つの部門で構成されています。ヨーロッパのフェリー航路で貨物と乗客を運ぶフェリー部門と、輸送・物流ソリューションを提供する物流部門です。
DFDSの物流部門は、貨物のリアルタイム追跡、通関手続きの簡素化、積荷の予約など、さまざまなデジタルツールを顧客に提供しています。これらの製品群を保守・革新するため、DFDSでは200人を超える開発者が働いています。
DFDSチームがアプリケーションやクラウド環境を含む開発パイプライン全体を監査したところ、セキュリティの可視性に大きな不足があることが判明しました。また、組織内でセキュリティ成熟度にばらつきがあることも分かりました。脆弱性の数を把握し、アプリケーションセキュリティを十分に理解しているチームがある一方、そうでないチームもありました。さらに各チームは、セキュリティへの標準化された取り組みではなく、それぞれ異なるオープンソースツールや商用ツールを組み合わせて使用していました。
DFDSチームには、全社で一貫したセキュリティプラクティスを実現する新たなソリューションが必要でした。同時に、セキュリティ対策によって開発者の作業が制限されたり、遅くなったりしないことも重要でした。
「最大のリスクは、サプライチェーンの可視性が欠けていることだと分かりました」と、SecOps担当ドメインアーキテクトのJohn Smith氏は語ります。「チームやグループによって、成熟度に大きな差がありました。」
ソリューション：Snyk Open SourceとSnyk Code
DFDSチームは開発グループ全体でSnyk Open SourceとSnyk Codeを導入し、自社コードとサードパーティコードの両方を保護することにしました。導入が簡単で、堅牢なレポート機能を備えていることから、Snykを選びました。
「検討した多くの代替手段では、各リポジトリにYAMLファイルや競合ファイルを置く必要がありました」とJohn氏は説明します。「製品オーナーに『すべてのリポジトリについて課題やPBIを作成してほしい』と頼んでも、『そんな時間はない』と言われるのが目に見えています。Snykにはそうした障壁がなかったため、製品オーナーの介入を必要としない展開プロセスを設計できました。」
またDFDSチームは、経験のレベルを問わず、各開発者にとっての「セキュリティのパートナー」としてSnykを活用できる点も評価しました。より高いセキュリティ意識を育むため、プラットフォーム内からSnyk Learnを活用し始めました。
John氏によると、「大切なのは、スプリントでセキュリティの視点を取り入れることを理解してもらう、少なくとも考え始めてもらうことでした。そして、『今あるデータを見て、最も問題の大きいものを減らしていこう』と考えてもらうことです。」
セキュリティを成功に導く適切なツールとトレーニング
自社コードとサードパーティコード向けのSnykソリューションを導入し、開発者教育にSnyk Learnを活用した結果、DFDSチームではセキュリティ修正への関心が高まりました。開発者はさらに一歩踏み込み、脆弱性の発見と修正に取り組むようになりました。アプリケーションセキュリティは、手に負えず放置されていた課題から、開発チーム全体で取り組める、意欲をかき立てる活動へと変わりました。
「Snykの導入後、『これは何？』『CVEって何？』『MITREって何？』といった質問がたくさん寄せられるようになりました」とJohn氏は話します。「実際にSnyk Learnで脆弱性の詳細を読み、たとえばSQLインジェクションとは何かを理解しようとする人が出てきています。Snykによって、好奇心を育む文化が間接的に生まれ始めているのです。セキュリティに関する好奇心は素晴らしいことです。その好奇心をセキュリティチャンピオンへとつなげられれば、チーム内で周囲に働きかける力になります。」
導入効果：脆弱性の減少と好奇心の高まり
Snykの導入以来、DFDSチームはこれまでに脆弱性を全体で50%削減しました。また、数週間前の時点で、成熟度の高い重大な脆弱性はゼロになったと報告しています。今後は、ツールの継続的な利用を促すため、Snykを開発チームが日常的に使用するIDEにさらに深く組み込む予定です。
「開発者は品質ゲートを設け、セキュリティスプリントも実施しているので、日々の業務で重大な脆弱性に費やす労力を大幅に減らせます。」
Snykのおかげで、DFDSはセキュリティに先手を打って取り組み、開発者はスピードと安全性を両立しながら、今後のサービスやアップデートをリリースできます。