課題：時代遅れのセキュリティ対策では、拡張が困難
Pantherでは複数のセキュリティ対策を実施していましたが、顧客基盤の拡大に伴い、手作業による対策を大規模に維持することが難しくなっていました。また、セキュリティプログラムがSOC2の基準を引き続き満たす必要もありました。事業の拡大とコンプライアンス要件への対応を続けるため、Pantherは、複数のプログラミング言語におけるアプリケーションセキュリティと、ソフトウェア開発ライフサイクル（SDLC）全体の品質保証を自動化できる、新たな優れたセキュリティ対策の導入を検討しました。そのためには、オープンソースの依存関係と独自コードの両方について、Go、Python、JavaScriptの脆弱性を検出できる新しいツールが必要でした。エンジニアチームの規模が小さいPantherには、開発を大規模かつ迅速に進められる、包括的な保護を提供するセキュリティソリューションが求められていました。
「お客様は、自分たちのデータを守るために私たちが何をしているのか知りたいと思っています」と、Panther Labsのエンジニアリングディレクター、Joren McReynolds氏は話します。「その保護の中核となるのが、パッケージの依存関係によって持ち込まれたコードであれ、私たちが独自に記述したコードであれ、製品のコードに脆弱性がないかをインテリジェントかつ自動的に検査することです。社外に出すすべてのコードによって、お客様の情報が安全に保たれるようにしたいのです。」
ソリューション：迅速な判断と自動修正を実現
Pantherは、自動セキュリティスキャンソリューションを探す中で、複数の製品を検討しました。オープンソースと商用の両方のソリューションを評価した結果、Snyk Open SourceとSnyk Codeが、開発者を重視し、コンテキストを踏まえた実用的なセキュリティ成果を最も提供できることがわかりました。さらに、プルリクエストの段階でコードを分析・検証できるため、Snykを使えばエンジニアは開発プロセスの早い段階で問題を発見でき、Panther自身が迅速かつ効率的に修正できるようになりました。
「Snykのおかげで、エンジニアが迅速に判断できるようになることがよくわかりました」とMcReynolds氏は話します。「自社のコードやパッケージ、サードパーティの依存関係のアップグレードや修正について、より安全な判断を下すための知識をエンジニアに提供してくれます。アップグレードが必要だとわかるだけでなく、アップグレードに必要な作業の詳細も確認できます。多くの場合、Snykの自動化によって、GitHubで緑色のボタンをクリックし、自動生成されたプルリクエストをマージするだけで修正できます。」
Snyk Codeで脆弱性を迅速に修正
Pantherは、ビルド段階の早期から自動化された静的アプリケーションセキュリティテスト（SAST）を実施し、開発チームのセキュリティスキャンを可能にできることを知りました。Pantherは、開発者のワークフローのできるだけ早い段階で脆弱性を認識できるよう、Snyk Codeを導入しました。評価期間中、他のSASTツールにはスキャン時間の長さ、精度の低さ、分析の深さや範囲の限界といった課題があることがわかりました。一方、Snyk Codeは、開発者がコードを記述している段階で、デプロイ前に効率的かつ実用的な脆弱性修正の提案をすぐに提供できるよう設計されています。
「Snyk Codeによって、私たちは新たな機能をセキュリティの武器に加えることができました」とMcReynolds氏は話します。「私たちが書くコードをすばやく分析し、エンジニアが開発中やビルドのワークフローで活用できる、信頼性の高い実用的な情報を提供します。Snykの画面では、コードの問題点や、その問題に関する他の情報源、業界の他のエンジニアがどのように修正したかをすばやく確認できます。すぐに対応できる、価値ある静的解析結果が得られます。」
オープンソースコードを包括的に保護
セキュリティプロバイダーであるPantherは、大規模な顧客企業と連携しており、コードやオープンソースライブラリの脆弱性を継続的に監視することが不可欠です。Snyk Open Sourceはすべての依存関係を監視し、重大な問題が発生したらすぐにPantherが特定して修正できるようにします。Snykは、検出されたセキュリティ問題を修正するための実用的なガイダンスを提供します。また、深刻度と潜在的な影響に基づいて問題に優先順位を付けることで、開発者の修正にかかる時間も削減します。
「包括的な観点から見ると、Snykに匹敵する製品はほかにありません」とMcReynolds氏は話します。「Snykは、他のどの製品よりも多くの脆弱なパッケージを、より迅速に検出します。他社製品は比較すると、ただ停滞しているだけです。」
成果：統合されたセキュリティを大規模に提供し、信頼を獲得
Pantherは、Snykの強力なSASTソリューションとオープンソースの依存関係スキャンを組み合わせることで、ワークフローを複雑にしたり、エンジニアにセキュリティの専門家になることを求めたりせずに、詳細かつ実用的なセキュリティタスクをエンジニアに直接提供しています。さらに、Snykはビルドプロセスに統合され、脆弱性の優先順位付けを支援することで修正を加速します。こうしてSnykは、Pantherが事業を拡大しながら、イノベーティブな機能を求める顧客に完全な可視性と向上したソフトウェア品質を提供できるようにしました。
「Snykのおかげで、事業をすばやく拡大できます」とMcReynolds氏は話します。「SnykはGitHubに自動で統合されるので、ボタンをいくつかクリックするだけで、すぐに利用を開始できます。脆弱性への対応やコードの毎日の分析に専任する人員を雇う必要はありません。開発に集中しながら、アプリケーションのパッケージ依存関係に脆弱性がないか、コードベースが徹底的に分析されているかを把握できます。社内にもお客様にも、自信を持って伝えられることです。」
SnykによってPantherは、デプロイの速度を落とすことなく、エンジニアリングを中心に据えたセキュリティアプローチを実現しました。Snykの自動化ソリューションは、コードがマージされる前にコードの問題やセキュリティ脆弱性を検出するため、アプリケーションがステージング環境や本番環境に到達する前に、セキュリティが検証されていることをエンジニアリングチームが確認できます。これらの取り組みは、SOC2をはじめとする各種基準への準拠維持にも役立っています。
「最終的に、Snykのおかげで、私たちが独自に解決する立場にない難しいセキュリティ課題に取り組むのではなく、事業の成長に集中できるようになりました」とMcReynolds氏は話します。「Snykから得られる投資対効果にとても満足しています。コンプライアンス上の義務を満たすだけでなく、製品のセキュリティ向上につながる、有意義で実用的な結果をもたらしてくれます。その結果、お客様に提供するコードの品質に自信を持てています。」