Segment、Snykを導入し、オープンソースのセキュリティを包括的にカバー

課題

Segmentは、プラットフォーム全体で多種多様なオープンソースパッケージを利用しており、可能な限り高いセキュリティレベルを維持したいと考えていました。それまで使用していたGitHubのソリューションでは、開発者が実際に脆弱性を修正するために使っておらず、十分ではありませんでした。また、セキュリティカバレッジが期待を下回り、対応していないプログラミング言語もありました。

Snykでセキュリティカバレッジを強化

Snykは、こうしたニーズに応えました。

1. より包括的なセキュリティカバレッジを提供し、他の評価対象ソリューションでは検出されなかった脆弱性も報告しました。

2. 脆弱性を簡単に修正できるプラットフォームが開発者に好評で、すぐに利用が広がりました。

3. プラットフォームは、Segmentのインフラで広く使われているGoを含む、多様なプログラミング言語に対応しています。

「（他の評価対象ソリューションが提供する）セキュリティカバレッジが十分に包括的だとは思えませんでした。後にSnykと比較したことで、それが明らかになりました。…eslint-scopeの脆弱性が公開されたとき、どのリポジトリが影響を受けるかを簡単に特定でき、依存関係をアップグレードまたは削除できました。」

他のベンダーも検討しましたが、脆弱性のカバレッジがSnykよりも限定的で、Snykが検出した脆弱性の一部を検出できませんでした。また、他のベンダーは、不可欠だったGitHubとの連携にも対応していませんでした。

「SnykとGitHubの連携により、特別な作業をせずにすぐに使い始められました。購入から2日後には、すでにSnykで1,200のリポジトリを監視していました。」

開発者を第一に考えるアプローチ

Snykによって開発者がセキュリティに主体的に取り組めるようになった一例として、Segmentの開発者の一人が、セキュリティチームから依頼されることなく、Snykが検出したすべての脆弱性を自発的に解消しました。脆弱な依存関係の削除やアップグレードは、1日もかからずに完了しました。

クリーンアップの各イテレーションはSnykのUIに表示され、各行にはその時点で把握されていた問題が示されます。すべての問題は19時間以内に迅速に修正・解決されました。

Snyk APIを活用し、Segmentの主要な社内監視ツールと簡単に連携

SnykのAPIをSegmentの資産管理ツールに組み込み、既存の社内ワークフローで脆弱性の状況を簡単に把握できるようにしました。SnykはAPIファーストのアプローチを採用しており、新機能はUIに追加される前にAPIで利用可能になります。詳しくはこちらをご覧ください。

Segmentの社内監視ツール「Directory」のスクリーンショット。SegmentはSnykのAPIを使って、Snykのテスト結果と推奨事項を表示する専用タブを作成しました。

Snykチームのオープンで柔軟な姿勢が大きな違いを生む

Snykのチームはオープンで親身な姿勢で顧客の要望に耳を傾け、積極的に支援します。顧客のニーズに応える新機能を迅速にリリースし、顧客とのコミュニケーションも密に行うことで、素早い解決策を提供しています。

「私にとって特に重要だったのは、ベンダーのチームと良好な関係を築けることでした。標準機能で提供されていないことがあっても、チームは実現に向けて熱心に協力してくれました。チームがこちらの声に耳を傾け、製品ロードマップにフィードバックを反映してくれていると実感しています。」