Smartsheetが効率的なアプリケーションセキュリティの実践にSnykを選んだ理由

課題：事業の拡大を支える効率的なセキュリティプロセスの必要性

ここ数年で、Smartsheetの従業員数は2倍以上に増えました。Smartsheetの成長に伴い、エンジニアリングチームは、セキュリティ脅威からプラットフォームを守るため、将来を見据えたセキュリティ対策の整備に取り組んでいます。事業規模を拡大するなかで、開発者はアプリケーションセキュリティの自動化を活用し、できる限り簡単かつ効率的に製品を保護する必要があります。

「私たちは多くのソフトウェアを開発しています。そのため、利用しているオープンソースコードに適切なセキュリティ対策とリスク管理を確実に施すという課題があります」と、SmartsheetのCISO、Chris Peake氏は語ります。「一方で、ライセンスの問題もあります。法務の観点だけでなく、セキュリティの観点からも対応が必要です。」

Smartsheetは、オープンソースコードの脆弱性スキャンとライセンス管理を自動化し、ソフトウェア開発の規模に対応しながら、開発者自身がセキュリティを管理できるようにしたいと考えていました。そのためには、適切なタイミングで問題を自動的に検出し、的確なコンテキスト情報を提供するツールが必要でした。これにより、開発者はより迅速に判断を下し、会社を安全に保つことができます。

「開発者の行動を促すために、開発者ファーストのセキュリティツールを自分たちで構築するのは、少人数のチームには現実的ではありませんでした」と、Smartsheetのプリンシパルセキュリティエンジニア、Jason Bubolz氏は語ります。「Snykは、脅威インテリジェンスを提供し、必要な修正を自動的に提案することで、開発者の行動を促してくれます。」

ソリューション：開発者ファーストで効率的なセキュリティ

ソリューションを探すにあたり、SmartsheetはSnyk、Whitesource、Blackduck、Veracodeを含む4つの製品を評価しました。その結果、Snyk Open Sourceは最も開発者を重視し、実用的で、具体的なアクションにつながる製品であることが分かりました。スムーズに導入でき、すばやく統合できる点も評価されました。また、開発者が実行に移せる修正策を提示するSnykの能力も、Smartsheetチームに高く評価されました。

「Snykの脆弱性データベースは、利用可能な選択肢のなかで最も網羅的で詳細です」とBubolz氏は語ります。「セキュリティに適切に取り組もうとするエンジニアにとって、Snykはソフトウェア開発ライフサイクルのあらゆる段階で優れたソリューションを提供します。今では、エンジニアが判断を下すその場でツールを利用でき、すぐに行動に移せる情報を得られます。これこそ、私がSnykに感じ続けている価値です。」

Snykは、脆弱性を解消するために必要な最小限のアップグレードを特定し、コードに問題が発生するリスクがある場合は通知します。こうした正確でタイムリーな結果は、セキュリティチームに頼らず、開発チーム自身がセキュリティ上の判断を担えるよう支援する方針へと移行するSmartsheetにとって不可欠です。

Snyk Container：開発者が脆弱性を防げるよう支援

Smartsheetは、コンテナセキュリティを強化するには、開発者にとって負担のない体験を実現する必要があると考えていました。そこで、既存の開発ワークフローにSnyk Containerを統合しました。Snyk ContainerはSDLC全体で利用できるため、コンテナが本番環境に移行する前に優先度の高い脆弱性を特定し、早い段階での修正を支援します。

「開発者は、開発プロセスのごく初期に、特定のベースイメージを選ぶべきかどうかをSnykのフィードバックをもとに判断しています」とBubolz氏は語ります。「別の選択肢に切り替えるために多くの時間を費やす前に、明確な判断材料を得られます。」

Snyk API：データ管理と運用を自動化

セキュリティスキャンツールを評価する際、Smartsheetは複数の製品のAPIを調査しました。そのなかで、Snykは最も簡単に導入できることが分かりました。SmartsheetチームはSnyk APIを活用し、複数のプロジェクトのデータレポートを自動化するとともに、毎月数百件のGitHubリポジトリの管理業務を自動化しました。

「別のシステムにデータを自動で連携し、代わりに処理を実行してもらう必要がありました」とBubolz氏は語ります。「私一人に対して、Smartsheetでは毎日400人以上の開発者がコードをコミットしています。新しいリポジトリができたり、所有者が変わったりすると、Snyk APIが知らせてくれます。効果的なAPIがなければ、セキュリティスキャン製品を使うことはできなかったでしょう。」

成果：開発者ファーストのアプローチにより、Snykで脆弱性をほぼ即座に解消

Snykは、新規顧客のオンボーディングを緊密な連携のもとで進めるため、Smartsheetは初日からプログラムを軌道に乗せることができました。Snykは、同社のエコシステム全体にツールをどのように組み込めるかを理解するために時間をかけ、すべての継続的インテグレーション（CI）パイプラインへの統合を実現しました。

「Snykを完全に統合する前から、すでに目的を果たしていました」とBubolz氏は語ります。「アプリケーションから開発者にメールが届くと、問題をすぐに解決するほうが簡単だと分かり、開発者自身が積極的にセキュリティに取り組むようになりました。」

導入の容易さが、開発者主体のセキュリティへの円滑な移行を実現

Snykはオンボーディングが迅速なため、Smartsheetはセキュリティチームや開発チームに余計な負担をかけることなく、すぐに取り組みを開始できました。SnykをSDLC全体で利用することで、エンジニアは自分で調査して解決策を見つけなければならない一連のバグではなく、自分で解決できる問題を把握できるようになりました。Snykは必要なコンテキスト情報とともにセキュリティ問題を提示するため、開発者は大半の修正を自力で行えます。場合によっては、ボタンをクリックするだけで修正できます。

「より良い成果が得られています」とBubolz氏は語ります。「チームは、以前にも増してセキュリティに集中できる体制が整っています。」

オープンソースライセンス管理で法務の負担を軽減

Snykを導入する前、Smartsheetの法務チームは、製品の依存関係で使用されているライセンスを追跡するという大きな課題を抱えていました。Snykにより、法務チームと開発者は、プロジェクト内のライセンス対象コードを一元的にすべて把握できるようになりました。これにより、オープンソースソフトウェアのライセンス条件やその他の要件を遵守しながら、開発のスピードを維持できました。

「法務チームは、私たちが使っているオープンソース製品を把握できるようになり、とても喜んでいました」とPeake氏は語ります。「以前はリストを手作業で管理していて、かなりの労力がかかっていました。すべてを一元的に把握できるのは大きなメリットであり、チームが今Snykから得ている価値をさらに高めています。」