課題
オーストラリア最大の住宅ローン仲介会社であるLendiGroupは、顧客サービスを最も重視しています。その一環として、ブローカーが使用するテクノロジーが最高水準で機能するよう徹底しています。
四半期ごとのペネトレーションテストで、Lendiの依存関係の多くが最新ではなく、パッチ未適用の依存関係にどのようなリスクがあるのか把握する手段もないことが明らかになりました。
LendiはSnykと提携し、構成をコードとして管理するアプローチで「Software as a Service」（SaaS）製品を管理することにしました。このプロジェクトを開始したことで、エンジニアリングとアプリケーションセキュリティの分野が連携するための新しいアイデアが生まれています。
新しい働き方へ
優れた顧客サポートと顧客体験を基盤とするLendiは、全国の金融機関と連携し、一人ひとりの状況に合った最適な住宅ローンを顧客に提供しています。2021年5月、業界の先駆者である仲介会社Aussie Home Loansとの合併を経て、Lendi Groupは現在、融資残高700億豪ドル超を誇るオーストラリア最大の住宅ローン仲介会社となっています。
オーストラリアを代表する住宅ローンテクノロジー企業であるLendiには、約120人のソフトウェアエンジニアが在籍し、グループ全体では数千人の住宅ローンブローカーを擁しています。ブローカーはLendiのプラットフォームを使い、見込み顧客とのやり取りを効率化して、できるだけ早く最適な住宅ローンを提案しています。
合併後、Lendi Groupは、ブローカーの業務効率を大きく高めるため、従来のテクノロジープロセスを刷新し、自動化する方法を模索していました。四半期ごとのペネトレーションテストで依存関係に関する問題が見つかり、Lendiの依存関係の多くが最新ではなく、パッチ未適用の依存関係に伴うリスクを把握する手段もないことが明らかになりました。
「バックエンドにあるさまざまなマイクロサービスの依存関係の脆弱性を特定するため、オープンソースのツールに大きく頼っています。しかし、こうしたツールではバックエンドで使っているすべてのプログラミング言語に対応できるとは限らず、有用なテレメトリや指標も得られません」と、LendiのシニアSecOpsエンジニアであるCole Cornford氏は話します。
Lendiには、脆弱性の特定と対処に役立つ、費用対効果の高いソリューションが必要でした。2021年7月、Lendiは構成をコードとして管理するアプローチで「Software as a Service」（SaaS）製品を管理するため、Snykの利用を開始しました。
「エンジニアが自分の責任と脆弱性にパッチを適用する重要性を理解できるよう、プロセスはシンプルである必要がありました。候補となるソリューションを検討した際、Snyk Open Sourceが市場をリードしているのは明らかでした。Snykのことは以前から知っていて、製品の開発中に初めて知ったほどです。そのため、最初に検討したのがSnykでした」とCole氏は振り返ります。
プラットフォーム上の脆弱性を減らすことで、システムの耐障害性と信頼性が高まり、Lendiのセキュリティ体制に対する顧客の信頼も向上します。金融機関は個人の本人確認書類、住所、連絡先、収入などの記録を必要とするため、Lendiはこうした情報を安全に保管しなければなりません。
「バックエンドのソースコードリポジトリは非常にシンプルな構造なので、Snykの初期導入は驚くほど迅速でした。Snykでは、Bitbucketの各コードリポジトリを担当チームに紐づけられます。そのため、重大、中程度、低度の各深刻度の問題を最も多く抱えているチームや、修正が最も速いチームを把握できます」とCole氏は述べています。
チーム間の壁を取り払い、効率を飛躍的に向上
Lendi Groupは、エンジニアからブローカー、顧客まで、誰もが簡単、安全、かつ確実に利用できる環境を共通の目標として、Developer Operations（DevOps）とSecurity Operations（SecOps）の取り組みを一体化しています。プラットフォームチームはLendiのすべてのテクノロジーおよびエンジニアリングチームと緊密に連携しており、チームがプラットフォームを最大限に活用し、管理できるよう、継続的にコミュニケーションを取りながら改善を進めています。
Snykの最大の差別化要因は、開発者の日常的なワークフローに統合されることです。外部システムを使う必要はありません。
「Snykはバックグラウンドで継続的に動作し、結果も平易な英語で表示されるので、セキュリティエンジニアが時間をかけて読み解く必要はありません。脆弱性の推移をグラフで確認できるため、経営陣にも活動内容を簡単に伝えられます。エンジニアに優れたユーザー体験を提供したい私たちにとって、これは非常に大きなメリットでした」とCole氏は話します。
こうしたメリットはLendiのブローカー、そして最終的には顧客にも広がります。Snykが問題への継続的なパッチ適用を支援することで、エンドユーザー向けサービスの停止やセキュリティ上の脆弱性が減少します。
「SnykはLendi Group全体に価値をもたらし、ブローカーと顧客に安心感を提供します。高性能なテクノロジーを安心して使え、個人データも安全に保護されていると確信できます」とCole氏は述べています。
昨年の第3四半期にSnyk Open Sourceを導入した後、Lendi Groupは、関連部門でSnykを製品として導入し、社内に浸透させることを目標とする主要成果（OKR）に掲げました。第4四半期には、Snykを使って重大および高リスクの問題の90%を修正する目標に進みました。Lendiはこの目標を見事に達成し、この6か月で修正率は98%にまで上昇しました。これは多くの組織にとって容易ではない成果です。今年の第1四半期には、問題の修正にかかる時間を短縮し、重大および高リスクの問題は14日以内、それ以外は60日以内に修正することを目指しています。
チームワークが成功を生む
導入を確実に成功させるため、Lendi GroupはSnykチームと緊密に連携しました。各チームに取り組みの詳細を説明し、適切なドキュメントを利用できるようにするとともに、日常業務への影響をできるだけ抑えて新しいシステムへ移行しました。
「Snykのソフトウェアはドキュメントが非常に充実しているため、公開情報を活用してチーム教育を進められました。複数のトレーニングを実施し、Snykの使い方に関するベストプラクティスガイドも作成しました。幸い、Lendiのソフトウェアエンジニアは非常に理解が早く、日々使っているプラットフォームや活動に自然に組み込めるため、すぐに使い方を理解しました。今では誰もが一貫した共通の技術スタックを使っています」とCole氏は話します。
LendiとSnykの間でオープンかつ迅速にコミュニケーションを取れるよう、Snykはチーム向けの共有Slackチャンネルを開設し、質問や問題を気軽に報告できるようにしました。
「SecOpsとDevOpsのエンジニアを含むLendiのプラットフォームチーム全員がこのチャンネルを利用できるため、Snykに問題をすぐに報告して解決したり、追加のリソースを依頼したりできます。Snykと協力し、このプロセスをできるだけシームレスで直接的なものにしてきました」とCole氏は述べています。
Lendi GroupはSnykの導入を成功させ、働き方が大きく改善されたことを確認した後、さらに一歩進み、Snykとの連携プロセスを自動化するプロジェクトを立ち上げました。
「デプロイするものはすべてコードとして管理したいと考えており、オープンソースプロジェクトにも関心があります。そこで、自社だけでなく他社もSnykとそれぞれのチームやプロジェクトを連携できるよう、オープンソースのTerraformプロバイダーを作成することにしました。このプロジェクトで、チームは最近Snykie Innovator Awardを受賞しました」とCole氏は話します。
今後の取り組み
Snykとの提携を通じて、Lendiはエンジニアリングとアプリケーションセキュリティの連携に関する新しいアイデアを促進しています。Lendi Groupがテクノロジー分野で次に目指すのは、現在2つのブランドで個別に運用されている類似サービスを、一か所に集約することです。
「私たちはチームとして、常に自らに挑戦し、最新テクノロジーを取り入れ、興味深いプロジェクトを楽しみながら進めています。Snykは私たちの将来のビジョンに直結しています。新たに構築するものすべてに定期的にパッチを適用し、脆弱性に伴うセキュリティレベルやリスクを把握できるよう支援してくれるからです」とCole氏は述べています。