Skip to main content

急成長の中でもSnykでセキュリティを維持するPomelo

業種: Finserv
場所: Argentina

Use Case

Snyk Open SourceとSnyk Code

ハイライト:

約900のリポジトリにSASTとSCAのスキャンを導入し、1か月足らずで完了

約200人の開発者にSnykプラットフォームへのアクセス権を付与し、3週間足らずで完了

9,500件の脆弱性を解決。内訳はHighが2,150件、Criticalが200件（そのうち100件には成熟度の高いエクスプロイトが含まれる）

既存のツールやワークフローとSnykを連携し、エンドツーエンドのアプリケーションセキュリティプログラムを構築

課題：企業の成長に合わせてセキュリティを強化する

Pomeloは、暗号資産向けカードやデジタル口座、即時入金、担保付きクレジットカードなどのソリューションを顧客に提供するフィンテック企業です。機密データを大量に扱うPomeloのチームは、創業当初からサイバーセキュリティを優先すべきだと認識していました。

Pomeloのプラットフォームソリューションチームは、AWS上のソフトウェア開発ライフサイクル（SDLC）にすでに組み込まれているネイティブツールを活用することにしました。コードホスティングプラットフォームのGithubと、継続的インテグレーションツールのCircleCIを利用し、シークレット検出、SASTおよびSCA分析、IaCスキャン、ベースイメージスキャンなどのセキュリティ対策を実施していました。Pomeloのチームは、繰り返し使う設定を1行のコードにまとめるYAMLパッケージの一種である、独自に構築したCircleCI orbを活用していました。このセキュリティorbの作成には、複数のプログラミング言語で書かれたオープンソースツールを使用していました。しかし、Pomeloの成長に伴い、この独自のセキュリティorbでは対応しきれなくなりました。

「複数の言語で作られたさまざまなツールから、JSON、SARIF、YAMLなどの形式で出力されていました。拡張機能ごとにネストされたラベルなど、独自の形式がありました。さらに、リポジトリの数が増えると、誤検知も増加しました。そのため、データの管理がますます困難になったのです。」 - Leandro Sanginetto テクニカルエキスパートエンジニア、Pomelo

こうしたプログラミング言語の多様さは、セキュリティプログラム全体を俯瞰するうえでも課題となりました。チームは異なる言語間でコンテキストを切り替える必要があったためです。適切な可視性がなければ監査レポートの作成も困難であり、厳しい規制が適用される業界では大きな問題でした。

解決策：Snykのアプリケーションセキュリティプラットフォーム

Pomeloのチームは、これらの課題をすべて解決できる方法を探していました。誤検知を減らしながら、可視性と拡張性を高めたいと考えていました。また、AWS環境でアプリケーションを構築、実行する際に、開発者が簡単に使えるセキュリティソリューションを求めていました。

「世界最高のセキュリティツールを導入しても、可視性を確保し、エンジニアリングチームを直接巻き込めなければ、導入は失敗すると分かっていました。セキュリティ基準をすべて満たすだけでなく、開発者が簡単に使えるプラットフォームを求めていました。選ぶツールは、開発者主導でSDLCに組み込める必要がありました。」 - Nicolas Gomez シニアアプリケーションセキュリティエンジニア、Pomelo

使いやすさ、誤検知の少なさ、組み込みのサポートを評価し、PomeloはSnykのアプリケーションセキュリティソリューションを選びました。特に、自動修正プルリクエスト機能と、既存ツール（Jira、Slack、Github、CircleCIなど）との連携が高く評価されました。

PomeloとSnykのパートナーシップ

Snykの利用開始にあたり、Pomeloのチームは2つの目標を掲げました。

  1. 約900のすべてのリポジトリをSnykでカバーする

  2. すべての開発チーム（約200人の開発者）にSnykプラットフォームへのアクセス権を付与する

PomeloとSnykは1か月足らずで両方の目標を達成し、マネージャーとエンジニア向けのセキュリティトレーニングも実施しました。

「このソリューションが提供するインテグレーションとAPIのおかげで、開発者からマネージャー、経営幹部まで、全員がセキュリティ上の問題を把握しやすくなりました。また、開発チームが自らSnykを使って、対応すべき問題を確認できるようになり、より自律的に作業できるようになりました。」 - Leandro Sanginetto テクニカルエキスパートエンジニア、Pomelo

AWS Marketplaceで調達を簡素化

調達プロセスを効率化するため、PomeloのチームはAWSの既存の請求方法を活用してSnykのソフトウェアを購入しました。これにより請求を一本化し、Snykソリューションの購入と導入にかかる時間を短縮できました。

開発者ファーストのSnykセキュリティプラットフォームを試すには、AWS Marketplaceから直接、無料のSnykアカウントに登録することもできます。

導入効果：Pomeloの成長に対応できる、拡張性の高いセキュリティプログラム

Snykのアプリケーションセキュリティプラットフォームを導入したPomeloのチームは、コードから本番環境まで、すべてのアプリケーションをカバーできるようになりました。Snykの導入以来、チームは9,500件の問題を解決しました。内訳はHighが2,150件、Criticalが200件で、そのうち100件には実際に悪用された成熟したエクスプロイトが含まれていました。

さらに、チームは複数のインテグレーションを導入し、自社に適したエンドツーエンドのセキュリティプログラムを構築しました。たとえば、SnykとSlackを連携させ、問題の修正が必要なときにチームへ通知するようにしました。

「最も重要なのは、セキュリティテストの検出結果を一か所で管理できることです。GoSecで何かをスキャンしたい場合は実行でき、Pythonでスキャンする必要があれば、それも可能です。すべての情報を1回の呼び出しで一か所から取得できます。Snyk導入前に私たちが苦労していたのは、まさにこの点でした。」 - Leandro Sanginetto テクニカルエキスパートエンジニア、Pomelo

SnykとPomeloのパートナーシップについて詳しくは、DevOps TVでLeandroとNicolasの対談をご覧ください。