課題：包括的なセキュリティカバレッジの実現
しかし、約1,500のアプリケーションと数千のプロジェクトを抱える同社にとって、セキュリティの拡大は簡単ではありません。開発者への定着を確実にする高い使いやすさに加え、組織全体のセキュリティ施策を効率的に管理できる高度な機能を備えたソリューションが必要でした。
「スキャン対象のアプリケーション数と、保有するアプリケーションの総数を比較する指標を提供し、全体的なセキュリティカバレッジを把握できるソリューションを求めていました」と、Overstockのアプリケーションセキュリティアナリスト、Simon Wilkins氏は語ります。「効率性も重要な要素です。時間を節約するため、特定のアプリケーションに関連するすべてのプロジェクトに対して、同時に操作を実行できるようにしたいと考えています。」
ソリューション：プロジェクトのタグ付けでセキュリティ施策を効率化
OverstockがSnykを選んだのは、堅牢なAPIとタグ付け機能が、数千のプロジェクト全体でセキュリティカバレッジを高めるのに最適だったからです。現在、同社はAPI呼び出しを一元化してセキュリティスキャンのプロセスを簡単に管理できるようになり、プロジェクトごとに手作業で行うよりも大幅に時間を短縮しています。
プロジェクトのタグ付けは、Snyk APIを通じて複数のプロジェクトを分類、絞り込み、一括編集できるよう、2020年にリリースされたSnykの機能です。プラットフォームのインターフェースから一つずつ操作する代わりに、特定のタグが付いたすべてのプロジェクトに対して変更を自動で適用し、指標を取得できます。Overstockは、プロジェクトのオーナーや廃止状況など、さまざまな基準でタグを付け、複数のアプリケーションを効率的に分類、管理しています。
「数十、数百、数千、あるいは数十万ものプロジェクトを扱う場合、特定のプロジェクトを一つ探し出すのは、干し草の山から針を探すようなものです」と、Snykのプロダクトマネージャー、Waleed Arshad氏は説明します。「そのため、プロジェクトをグループ化して一括で作業し、必要な方法で対象を細かく絞り込めることが重要です。」
Snyk APIでセキュリティを拡大する方法
Snykは、開発ワークフローと連携する堅牢なAPI、効率的な修正を支援する高度なレポート機能、多数のプロジェクトにわたるセキュリティ管理を可能にするプロジェクトのタグ付けなど、開発者に使いやすいさまざまな機能によって、規模拡大に伴う課題に対応します。
Snyk APIを使えば、既存のエンドツーエンドのプロセスを大規模に完全自動化できます。APIを通じて、インテグレーション設定を作成し、ユーザーを招待することで、エンジニアリングチームをオンボーディングできます。ユーザーのオンボーディング後は、エンジニアがSnyk APIをソースコード管理（SCM）やその他の開発者向けツールと連携できます。さらに、これらのAPIエンドポイントでcronジョブを実行すれば、Snykプラットフォームに常に最新のチームとプロジェクトの情報を反映できます。
Snyk APIを使うことで、セキュリティ施策の可視性も高められます。APIには、使用状況やその他の重要な指標を追跡するための詳細な監査ログが用意されています。また、レポートAPIを使えば、修正状況の統計、問題の優先順位付けに関する推奨事項、ROI、SLAの遵守状況など、詳細な情報を取得できます。
「組織の適切な領域を継続的に支援できているか、確認する必要があります。そのために役立つのがレポートです」とArshad氏は語ります。「組織全体の修正状況を正確に把握し、最も支援を必要としている領域をしっかりサポートできます。」
さらにSnykには、プロジェクト属性やセキュリティポリシーのオプションもあります。セキュリティポリシーとは、組織のリスク許容度に合わせて脆弱性の優先度を上げたり下げたりする、カスタムルールのセットです。プロジェクトの属性に基づいて特定のプロジェクトにポリシーを自動適用することで、大規模な環境でもきめ細かなセキュリティ管理が可能になります。
効果：セキュリティ管理をより容易に
SnykのAPIとタグ付け機能により、Overstockはセキュリティにかかる時間を大幅に削減しています。時間のかかる管理作業をなくすだけでなく、Snykのタグ付け機能の活用を広げ、セキュリティスキャンのプロセスをさらに一元化する計画です。会社の成長に合わせて一貫して拡大できるセキュリティ体制の実現を目指しています。
「新しいタグ付け機能によって、Snyk APIは次のレベルに進化しました。さまざまな操作を一括で実行できるようになったのです」とWilkins氏は締めくくります。「誰もがすぐに活用するようになる機能だと確信しています。」