課題：オープンソースパッケージの可視化
ROLLERは、レジャー・エンターテインメント業界の企業がより効率的に事業を運営し、優れたゲスト体験を提供できるクラウドベースのプラットフォームを提供しています。POS、予約、イベント管理、顧客関係管理などの機能を備えています。
ROLLERのプラットフォームが成熟するにつれ、十数個のマイクロサービスやサブアプリケーション全体で、オープンソースの依存関係が急速に増加しました。同社は、脆弱性のあるパッケージを監査・置き換えるための、効率的なセキュリティプロセスが必要だと認識しました。
「急速に開発を進める企業では、目標を達成するために使用するパッケージやオープンソースソフトウェアの数も増えていきます」と、ROLLERのCIO、Sean Fernandez氏は述べています。「脆弱性がどこにあり、何に対処すべきかを、シンプルなダッシュボードで確認するのはかなり難しくなっていました」
解決策：Snykで依存関係のスキャンを自動化
オープンソースの脆弱性管理を効率化する方法を探し始めたROLLERにとって、プロセスを自動化できることは不可欠でした。Snyk Open Sourceを導入したことで、ROLLERは依存関係のスキャンを継続的インテグレーション／継続的デリバリー（CI/CD）パイプラインに統合できました。まず、Bitbucket Cloudとの接続から始めました。
「何年も前から使われていて、更新されていない可能性のあるパッケージがありました」とFernandez氏は説明します。「脆弱性があるのか、アップグレードに労力をかけるべきなのかを知りたかったのです」
さらに、Snyk Intel Vulnerability DatabaseはROLLERの開発チームにとって非常に役立ちました。Snykのセキュリティリサーチチームが精選したこのデータベースは、複数の公開データベースから収集した脆弱性データを拡充して提供します。特に、特定のエクスプロイトの仕組みや対処方法を、開発者をはじめとするセキュリティ専門家以外の人々にも理解しやすく伝えます。
「私たちは皆、技術には詳しいですが、セキュリティの専門家ではありません」とFernandez氏は話します。「脆弱性情報がシンプルなMarkdown形式で提供され、エクスプロイトの仕組みを正確に確認できる点が気に入っています」
PCI準拠の要件を簡素化
PCI（ペイメントカード業界）のセキュリティ基準に準拠するには、企業は決済ソフトウェアのライフサイクル全体を通じて、そのセキュリティを管理していることを証明する必要があります。Snykはプロセスを自動化することで、ベンダーパッケージに関するセキュリティ管理のPCI準拠要件を満たすうえでもROLLERを支援しました。
「パッケージが16個しかない小規模なプロジェクトでも、問題がないかオープンソースパッケージを一つずつ確認しなければなりません」とFernandez氏は説明します。「Snykにスキャンしてもらうほうが、はるかに簡単でした」
成果：クラウドプラットフォームのセキュリティ態勢を向上
Snykの導入後、ROLLERは重大度の高い脆弱性を約80%削減できました。また、コードベースに新たな依存関係の脆弱性を持ち込んでもSnykが検出してくれるため、開発者はオープンソースパッケージをより慎重に評価するようになりました。
「Snykは、セキュリティの基本となる基準をすべてのエンジニアに示してくれます」とFernandez氏は述べています。「オンラインでベータ版のパッケージや苦情の多いパッケージを見つけても、Snykのチェックを通過しなければ承認されません。その結果、開発者はセキュリティについて、より先を見越して考えるようになりました」
ROLLERのプラットフォームが成熟を続けるなか、開発チームは新機能を迅速に提供することと同じくらい、安全な開発を重視する、より先を見据えたアプローチへと移行しています。ROLLERは納得できる水準のセキュリティ態勢を確立しましたが、次の優先事項は、Snykが最近導入した新しい「重大」脆弱性カテゴリへの対応です。Snykが重大度「重大」と判定する脆弱性を排除することで、プラットフォームのリスクプロファイルを速やかに改善できます。
「顧客候補との評価プロセスで話をすると、Snykを使って私たちが実現していることが可能だとは思っていなかった、という人がよくいます」とFernandez氏は述べています。「自社のシステムにもどう導入できるか、メモを取る人が多いですね」