HealthChampionとSnykが連携し、セキュリティを最優先に据えたプログラムをゼロから構築

課題：厳格なコンプライアンス規制がある医療企業において、最初からセキュリティを最優先にする

どの業界でも企業はミスを許されませんが、医療業界ではその影響がさらに深刻です。企業が非常に機微な個人情報を扱うため、誤りが重大な結果を招くおそれがあります。そのため、消費者のプライバシーと情報の安全を常に確保するための厳しい規制が設けられています。

「医療分野で事業を行うなら、その分野の規則に従わなければなりません。私たちが扱う医療データは、誰にとっても最も個人的な情報と言えるものです。だからこそ、適切に管理し、責任を持って取り扱うことが非常に重要です。ひとつでもミスをすれば、人々を危険にさらすことになります。」

HealthChampionは2018年に創業したばかりでしたが、当初からセキュリティが最優先事項になると理解していました。小規模なスタートアップにとって、HIPAA準拠が必要になった段階で大きな問題に直面するのは避けたいことでした。2020年に監査が始まるにあたり、HealthChampionには、効果的なセキュリティの仕組みを最初から構築し、セキュリティ上の課題に直面しても安心できるよう支援してくれる、信頼できるパートナーが必要でした。

「私たちにとって重要なのは、導入するツールをDevOpsプロセスに組み込み、週に何度も本番環境へデプロイできるようにすることです。プロセスに素早く導入でき、問題をすぐに検出して迅速に解決できるツールが必要です。問題は何か月も後になってからではなく、発生した時点で対処するのが最善です。」

解決策：Snykの開発者ファーストのアプローチと深いセキュリティ知識が迅速な導入を実現し、HealthChampionのセキュリティ拡大を力強く支援

開発者が中心の約20名のチームであるHealthChampionには、最初からチームの賛同を得られるよう、簡単にセットアップでき、使いやすいソリューションが必要でした。ソリューションを評価した結果、チームはSnykがはるかに優れていると判断しました。提携当時から豊富なインテグレーションが用意されていたことに加え、HealthChampionのチームがセキュリティ戦略を策定する過程で必要としたものを、Snykが協力して開発する姿勢を示していたためです。 

「大きなポイントは、すでにビルドパイプラインを運用し、自動化されたプロセスでチェックを実施していることです。セキュリティでも同じことを行い、ビルドプロセスの一部にできます。プロセスに深く組み込まれているので、開発チームのメンバーからも大きな賛同を得られています。」

手厚いサポートと幅広い製品ラインアップで、包括的なセキュリティプログラムを構築

Snykは、チームに必要なAzure ReposやAzure Pipelinesなどのインテグレーションやプラグインも提供しました。HealthChampionの導入時点でまだ利用できなかった必要な機能については、Snykが開発を進め、その過程を随時チームに共有しました。 

SnykはAzure Pipelinesを含むMicrosoft Azureエコシステム全体でセキュリティを実現し、アプリケーションやコンテナの脆弱性を自動で検出して修正を支援します。すぐに使えるこれらのタスクはパイプラインにすばやく組み込め、追加のコーディングなしでカスタマイズできます。これにより、脆弱性の検出を自動化し、手作業での確認を減らしながら、より迅速に対応できます。

「コードは毎日コミットされ、ビルドされるため、常にチェックを実行しています。Monitor製品も、私たちが気に入った大きな要素のひとつでした。本番環境に何かを導入した後、コードに脆弱性がある可能性を知らせるメールを受け取れるので、ビルド時には把握できていなかった脆弱性にも対処できます。私たちのニーズを満たす機能が本当にたくさんありました。」

さらに、Snykが幅広いプログラミング言語を深くサポートしていることは、JavaScriptと.NETを併用するHealthChampionにとって大きな利点でした。Snykでは、言語ごとにCIを設定でき、業界で最も幅広いサポートを利用できます。

「フロントエンドはJavaScriptで、バックエンドは.NET Coreなので、JavaScriptと.NET Coreの両方をサポートしていることも大きな決め手でした。もうひとつお伝えしたいのは、皆さんが製品に機能を追加し続けていることです。」

導入効果：迅速なインテグレーションと透明性の高いチームが、信頼できる安全なパートナーシップを実現

SnykはHealthChampionのパイプラインとスクラムプロセスにすぐに統合され、数週間のうちに、Snykが検出した新たな重大度の高い脆弱性をすべて最優先で修正できるようになりました。実証済みのセキュリティモデルと信頼できるパートナーを得たことで、監査や新規顧客の受け入れにも、より自信を持って臨めています。 

「2020年には顧客との契約を開始し、顧客から監査を受ける立場になると考えています。Snykのおかげで、ソフトウェアの開発過程でセキュリティ態勢を示せることが、監査を成功させるうえで大きな助けになると感じています。」

Snykチームの俊敏性、オープンな姿勢、透明性により、HealthChampionは心から信頼できるパートナーを得たと感じられました。HealthChampionが現在利用している製品についてのアップデートだけでなく、セキュリティ対策に役立つ追加ソリューションがある場合に備え、今後の製品ロードマップも全体像を把握できるよう共有してくれました。 

「Snykと他社製品をいくつか比較していました。検討した他社製品と比べて、Snykは気軽に連絡でき、質問やサポートの依頼にもすばやく対応してくれます。」

最終的に、SnykはHealthChampionのセキュリティを強化し、開発者が重要な使命に集中できるよう支援しています。それは、医療システムを変革して患者中心の仕組みにし、一人ひとりが自身の健康データをより自在に管理できるようにすることです。脆弱性の解消を支援するパートナーを信頼することで、開発者のチェックリストからひとつ項目を減らせます。 

「Snykが私たちを見守ってくれていると思うと、安心して眠れます。」