高精度スキャンで開発の早い段階から脆弱性を修正

ハイライト:

ソフトウェア開発ライフサイクル全体で開発者のワークフローにセキュリティを組み込み、修正までの時間を短縮。

誤検知の多かった既存ソリューションを、高精度なスキャンを提供するSnykに置き換え

バグ修正までの時間に関する顧客とのサービスレベル契約（SLA）を確実に遵守

デプロイ済みのコンテナイメージを定期的にスキャンし、安心感を得る

課題：手間のかかるセキュリティプロセスを迅速化し、拡大する

FormHeroの顧客は、厳しいセキュリティコンプライアンス要件があり、適切なセキュリティ認証が求められる規制業界で事業を展開しています。これには、クラウドに保存される顧客データに関するSOC 2も含まれます。

FormHeroには顧客向けソフトウェアを開発するチームがあり、できる限り脆弱性のないソフトウェアライブラリや依存関係を使って、安全に開発する必要があります。

同社はフロントエンドにJavaScriptとAngularフレームワークを、バックエンドサービスにNode.jsを使用しています。FormHeroのプラットフォームはマイクロサービスアーキテクチャを採用し、Dockerコンテナを通じてデプロイされ、Amazon Elastic Container Service（ECS）上で稼働しています。FormHeroは顧客データを保持しないため、データはFormHeroのSaaSプラットフォームではなく、顧客の拠点内に保存されます。

専任のセキュリティ担当者1名と開発チーム10名で構成されるFormHeroは、アプリケーションとコンテナのセキュリティにできるだけ早い段階で取り組みたいと考えていました。

「多くの場合、私たちはエラーが非常に起こりやすい紙ベースの既存の仕組みを、従業員や顧客にとってずっと使いやすいデジタル体験に置き換えています」

ソリューション：早期にセキュリティを取り入れ、修正までの時間を短縮

開発者がコードを書き終えた後でもセキュリティ上の問題は修正できますが、DevSecOpsパイプラインの一環として脆弱性に早期に対処し、開発者のワークフローに組み込むほうが、簡単で迅速かつ経済的です。Kimber氏によると、コードを書いてから数週間後に開発者が問題を修正する場合、修正に適した頭の状態に戻るまでにも時間がかかります。

「ソフトウェア開発ライフサイクルにおける私たちの重点課題の一つは、依存関係を管理し、Dockerコンテナに脆弱性がないことを確認することです」

FormHeroはいくつかの代替ソリューションを検討しましたが、Kimber氏によると、JavaScript、特にNode.jsへの対応が全般的に不十分でした。Kimber氏は、Node.jsやJavaScriptライブラリへの対応において、Snyk Open Sourceは他社を大きく上回っていると評価しています。

Snyk Open Sourceを利用することで、FormHeroはアプリケーション開発のセキュリティ確保に役立つ、業界最高水準のソフトウェア構成分析ソリューションを使用していることを顧客に示せます。

「開発者のワークフローで問題に対処せず、QAで問題を見つけて対応していると、修正に10倍の時間がかかります。そこでSnykが役立ちます」

同社はAWS環境のセキュリティ確保にAlert Logicも使用しており、AWS環境内のネットワークアクティビティやアカウントの挙動を継続的に監視して脅威を特定するため、AWS GuardDutyなどのツールも活用しています。

「重大なバグと判断された場合、顧客には24時間以内に通知し、48時間以内に修正を提供する必要があります」

成果：精度向上と誤検知の削減

Kimber氏によると、ある顧客から当初、別のソリューションにコードを通すよう求められましたが、誤検知が非常に多く、「特に苦労した」といいます。

Snykの導入により誤検知が大幅に減少し、セキュリティ運用の精度と有効性が向上しました。

サービスレベル契約（SLA）の遵守

FormHeroのすべての契約にはバグ修正までの時間に関するSLAが定められており、Snykを使うことで同社はその状況を常に把握できます。

「Snykのライセンス管理は本当に素晴らしいです。SCAソリューションを初めて検討したときには、まったく視野に入っていませんでしたが、確実に作業がずっと楽になります」

コンテナスキャンによるコンプライアンス対応

FormHeroはSnyk Containerも使用し、デプロイ済みのイメージを定期的にスキャンして問題を特定し、コンプライアンスを確保しています。

FormHeroはAmazon ECSリポジトリにあるデプロイ済みのイメージを定期的にスキャンし、イメージ内の依存関係や脆弱性を確認しています。問題が見つかることはあまりありませんが、Kimber氏は、Snykでイメージをスキャンすれば脆弱性の有無をチームが把握できるため安心だと話します。

強力なライセンス管理

セキュリティ上のメリットに加え、Snykにはライセンス管理機能もあり、FormHeroはソフトウェアライセンスが遵守されていることの確認に活用しています。

「Snykのスキャンに失敗してコミットできないと、開発者から不満の声が上がることもあります。しかし、QAプロセスですべてのライブラリを修正しようとする場合に比べれば、作業ははるかに少なくて済みます」と同氏は語ります。「ずっと迅速ですし、常に最新の状態を保てるので、とても助かっています」

業務を妨げずに最大限のセキュリティを実現

FormHeroはSnykによって、開発者のワークフローと全体的なセキュリティを向上させることができました。Kimber氏は、Snykは開発者の作業を妨げない優れたソリューションだと評価しています。

「FormHeroはSnyk Containerも使用し、デプロイ済みのイメージを定期的にスキャンして問題を特定し、コンプライアンスを確保しています」

Snyk について FormHero

FormHeroのデータ収集・配信ソリューションは、銀行や保険会社などの大企業で、複雑な紙ベースの業務プロセスをデジタル化するために活用されています。顧客向けアプリケーションや口座変更から、支店で行う複雑な取引まで、FormHeroは旧来のプロセスをシンプルなデジタルワークフローへと変革します。カナダのトロントに本社を置くFormHeroの顧客には、Bank of Montreal、TD Bank Group、Allianz Global Assistance、Allied Insuranceが名を連ねています。