課題：不正確で時間のかかるセキュリティスキャンと、可視性の欠如
Mollieは、決済と資金管理を簡素化するオールインワンソリューションを提供しています。現在、ヨーロッパ全域で25万社を超える企業にサービスを提供しています。
約300人の開発者が、決済プラットフォームの開発と保守に日々取り組んでいます。専任のセキュリティエンジニアリングチームが、開発者のセキュリティ課題への対応を支援しています。
セキュリティエンジニアリングチームは、従来のセキュリティスキャンソリューションに課題を抱えていました。スキャンに時間がかかること、使いにくいユーザーインターフェース、明確で実行可能な情報を示すダッシュボードの欠如により、脆弱性の管理と優先順位付けを効率的に行えませんでした。
「問題の解決やカスタムスキャンソリューションの保守に、多くの時間を割かなければなりませんでした。さらに、これらのツールでは誤検知が多く、開発者は時間のかかるトリアージに追われ、セキュリティ脆弱性管理の導入がなかなか進みませんでした。」
ソリューション：CodeとOpen Sourceを含むSnyk Enterprise
Mollieのチームは、より信頼性が高く使いやすいスキャンソリューションが必要だと認識しました。技術要件を包括的にリストアップし、主要なアプリケーションセキュリティスキャンツールを複数選んで概念実証を実施。その結果、ニーズと技術要件に最も適したソリューションとして、CodeとOpen Sourceを含むSnyk Enterpriseを選びました。
「Snykを有力候補にした主な理由は、SASTエンジンの品質と速度の高さによりパイプラインをすばやくスキャンできること、本番環境の依存関係にある脆弱性に優先順位を付けられること、そして強力な脆弱性管理ダッシュボードを備えていることです。」
また、開発者のIDEとのシームレスな統合、使いやすいインターフェース、さまざまなプログラミング言語への幅広いサポートも高く評価しました。
導入効果：効率性、開発者への浸透、可視性が新たなレベルに
Snykの導入から数か月で、Mollieのセキュリティエンジニアリングチームはセキュリティ態勢が大きく強化されたことを実感しました。主な改善点は次のとおりです。
パフォーマンスと効率の向上：脆弱性の発見と修正にかかる時間が大幅に短縮されました。Snykの高速なパイプラインスキャンにより、特に大規模なコードベースのビルド時に、開発者が待つ時間を最小限に抑えられます。スキャンエンジンの稼働率が100%のため、ソリューションの修正や保守に時間やリソースを費やす必要もなくなりました。また、スコア、悪用可能性、修正プログラムの提供状況に基づくSnykのトリアージ機能を活用し、対応の優先順位を付けています。
開発者のワークフローにシームレスに統合：Snykは開発者の既存のワークフローにシームレスに統合され、開発者の利用率を大幅に高めるとともに、セキュリティを開発の早い段階から組み込む取り組みを促進します。
開発者の効率向上：Snykは誤検知率を50%以上削減し、Mollieの開発チームが対応するノイズを大幅に低減しました。さらに、本番環境の依存関係に対象を絞ってスキャンできるため、気を散らす要因が減り、効率が高まります。
セキュリティチームの可視性向上：Snykのレポート機能とダッシュボードにより、本番環境にデプロイされた依存関係で新たに発見されたCVEを含め、すべてのアプリケーションのセキュリティ課題をより詳細に把握できるようになりました。
「Snykは、セキュリティテストを開発者のIDEに直接統合し、セキュリティタスクを簡素化して時間を短縮することで、セキュリティを開発の早い段階に組み込み、開発者の利用率を高める取り組みを大きく前進させてくれました。」
Snyk Enterpriseのおかげで、MollieのセキュリティチームはAppSecの成功指標を上回る成果を達成しました。サプライチェーン管理全体でスキャン対象範囲を大幅に拡大し、あらゆる深刻度の脆弱性について平均修正時間を短縮。ノイズの低減と脆弱性の優先順位付けを通じて、効率も大きく向上しました。Mollieのチームはセキュリティを開発の早い段階に組み込む取り組みを着実に進めており、今後もさらなる成果を期待しています。