課題：機密性の高い健康情報を安全に保つ
収集するデータの機密性を考えると、堅牢なセキュリティとデータ保護の実践は同社の重要な優先事項の一つです。製品開発のペースが非常に速い中、Flo Healthにはエンジニアリングチームの開発速度を落とさずに、アプリケーションセキュリティのプロセスを導入する方法が必要でした。
解決策：SnykをDevOpsプロセスに統合
開発中のアプリケーションセキュリティをより可視化するためにセキュリティツールが必要だと判断したFlo Healthは、Snykを選びました。Floが最初に取り組んだのは、自動脆弱性スキャンを既存の開発ツールに統合することでした。その結果、300以上のコードリポジトリと600のコンテナで、セキュリティと開発速度の両方が向上しました。
「当社には15の開発チームがあり、それぞれが自分たちのコードとパイプラインに責任を持っています」と、Flo Healthのセキュリティエンジニアリングリード、Dmitry Yackevich氏は説明します。「セキュリティチームとして、ドキュメントやサンプル、ベースイメージを提供し、開発ライフサイクルへのSnykの統合を支援しました。」
Snyk ContainerとSnyk Open Sourceの導入で当初から成果を上げた後、FloはSnyk Infrastructure as Codeを導入し、Terraformを使用する20以上のAWSアカウントのセキュリティ基準を確保しました。Snykにより、一貫したポリシーを設定し、これらのコードベースの脆弱性を自動的にチェックできるようになりました。
「Snykは世界最高水準のカスタマーサービスを提供しています」と、Flo HealthのCISO、Leo Cunningham氏は説明します。「個別レポートの作成から、教育イベントの実施、導入向け資料の作成まで、さまざまな面で支援してもらいました。」
急成長期にアプリケーションセキュリティを拡大
Flo Healthは急速に成長しているため、開発チームの速度を落とすセキュリティツールを導入する選択肢はありませんでした。以前は手作業で対応していたため、修正内容がセキュリティチームに戻るまで数か月かかることもありました。しかし、Snykでコードコミットごとに自動チェックできるようになり、開発者はセキュリティチームを待たずに、問題を数分で修正できるようになりました。
「Snykを利用する前は、6か月ごとに外部のペネトレーションテストを行い、四半期ごとに社内評価を実施していました。そのため、脆弱性の発見と解決までのフィードバックサイクルがかなり長くなっていました」とYackevich氏は述べています。「Snykの導入によって、この方法を変え、継続的にテストを行えるようになりました。」
Snykでセキュリティチェックを統合した後も、コードコミット数は150%増加し、デプロイ時間は1分未満を維持しました。開発プロセスの早い段階で実行可能なセキュリティインサイトを提供することで、SnykはFloの開発チームがセキュリティを開発の早い段階に組み込み、脆弱性が見つかったその場でより効率的に修正できるよう支援しています。同社が急成長を続ける中、セキュリティと開発速度を同時に向上できることは不可欠です。
「Snykとのパートナーシップは、間違いなく良い決断でした。単にスキャンするだけでなく、適切な方法でセキュリティを実装できるからです」とYackevich氏は付け加えます。「Snykは、社内で適切なセキュリティへの取り組み方を確立するのに役立ちました。」
効果：セキュリティとスピードを両立
Snykの導入後、開発者が修正するセキュリティ上の欠陥は、月5～10件から毎月300～1,900件に増加しました。Flo Healthの試算では、以前の手作業による方法で現在と同じ件数のセキュリティ修正を行うには、少なくとも20人のセキュリティ担当者を新たに採用する必要があります。
「Snykによって、コードをコミットするたびにセキュリティチェックを行うようになりました」とYackevich氏は述べています。「これにより、フィードバックサイクルを短縮し、セキュリティを開発の早い段階に組み込むことができました。」
Snykにより、Flo Healthはモバイルアプリのセキュリティ態勢を改善しただけでなく、以前より速く新機能をリリースできるようになりました。開発者はセキュリティ問題のバックログ対応に費やす時間を減らし、Flo Healthの成長と利用拡大を促す革新的な機能の開発に、より多くの時間を使えるようになりました。その結果、セキュリティが大幅に強化され、より安全な製品をより短期間でお客様に提供できるようになりました。
「Floでは、堅牢なポリシーと手順を備えたセキュリティフレームワークを継続的に整備することが最優先事項です」とCunningham氏は締めくくります。「ユーザーデータが非常に個人的なものであることを踏まえ、潜在的なセキュリティリスクを最小限に抑えることに取り組んでいます。Snykは、Floにとって最も重要なセキュリティツールの一つにすぐになりました。安全なコンテナとInfrastructure as Codeを実現することは不可欠です。Snykはすべてのコードパイプラインを記録的な速さでスキャンし、本番環境に移行する前に問題を検出することで、セキュリティを開発の早い段階に組み込めるよう支援しています。総じて、Snykはセキュリティを最優先する取り組みを推進し、それを記録的な速さで大規模に実現する助けとなっています。」