TechnologyOneは、グローバルなSaaSエンタープライズ・リソース・プランニング（ERP）プロバイダーにとどまりません。外部委託のコンサルタントに頼ることなく、自社ですべてのソフトウェアを開発、デプロイ、運用する企業です。この一貫したサービスは他社との差別化要因であり、顧客にとって大きな変革をもたらします。顧客と6か月の付き合いであっても20年であっても、「絶え間なく大切にする」という姿勢のもと、顧客のセキュリティに深く取り組む企業文化を育んでいます。
セキュリティオペレーション＆エンジニアリングリードのNick Baker氏と、セキュリティ＆コンプライアンスプログラム責任者のChris Polkinghorne氏は、高い信頼基準を維持し、開発チームのスピードを高めるには、アプリケーションセキュリティ（AppSec）プログラムを根本から変革する必要があると認識していました。
課題：可視性の欠如と開発のボトルネック
以前は、オープンソースツールと社内開発の静的コード解析（SCA）ツールを組み合わせて使用していました。主に社内の.NETコードを対象に設計された自社製ツールでは、新たに導入したいプラットフォームやテクノロジーをカバーできませんでした。当初は基本的なセキュリティニーズを満たしていたものの、すぐにエンジニアリングチームのボトルネックとなりました。
Nick氏は次のように説明します。「当社のコードの大半は.NETだったため、対象範囲が非常に限定されていました。新しいプラットフォームやテクノロジーに対応するツールはありませんでした」
Nick氏によると、既存のツールはノイズが多すぎました。「あるレポートには『技術的負債が数千日分』とありました。誤検知のせいで、プロダクトチームと『建設的な対話』をするのが難しくなっていました」
セキュリティ上の問題が明らかになるのは、リリース直前という最悪のタイミングであることがよくありました。セキュリティチームの対応能力に大きなギャップがあったため、これは重大な懸念でした。
Nick氏は振り返ります。「開発者には、リリース直前まで何も見えていませんでした。それではコストがかかります。セキュリティ上の問題が見つかると、開発を戻して修正し、サイクル全体をやり直さなければなりません」
大規模な製品では、1つの修正だけでも、再ビルドと再テストに何時間もかかることがありました。
Nick氏は言います。「ビルドだけで30分かかるソフトウェアもあります。1つの修正でそれを3回繰り返すと、90分もの時間が無駄になります」
チームには、開発者がより早く、より頻繁に、日々のワークフローの中でセキュリティフィードバックを得られる仕組みが必要でした
この時点で、要件は明確でした。ノイズを減らし、さまざまな言語やフレームワークにわたってカバー範囲を広げ、開発者がすぐに行動に移せる、迅速で状況に応じたフィードバックを提供することです。
ソリューション：重要度の高い検出結果をノイズを抑えて提供する、協業型のパートナー
ソリューションの評価にあたり、TechnologyOneのチームは、ツールがビジネスを後押しするものとなるよう、譲れない要件を明確にしていました。
重要度の高い検出結果を、ノイズを抑えて提供：従来のツールは、対応につながらない検出結果や、リンターで検出できるレベルの問題を大量に報告し、チームを圧倒していました。
カバー範囲のギャップ：TechnologyOneのレガシースタックだけでなく、.NET、Node.js、Python、Goなど、複数の言語に対応する必要がありました。
包括的なカバー範囲：サードパーティー分析（SBOM）と静的コード解析の両方をカバーすること。
拡張性：数千のリポジトリに対応できるソリューションであること。
技術面とパートナーシップの両面で最適だったSnykは、真のパートナーとして際立っていました。Nick氏はこう語ります。「Snykとの初期のミーティングは、実際に課題を解決するための場だと感じました。初日から協力的でした」
TechnologyOneはAWS Marketplace経由でSnykを購入したことで、導入プロセスをさらに効率化し、評価からデプロイまで迅速に進めることができました。Snykの導入は迅速に進み、大きな変革をもたらしました。TechnologyOneは、数日でコードリポジトリ内のすべてのソフトウェアをオンボーディングしました。これは、以前のツールと比べて大きな進歩でした。
Nick氏は言います。「すぐにカバー範囲を確保する必要がありましたが、数週間でも数か月でもなく、数日で実現できました」
Snykのパートナーシップは、ツールの提供にとどまりませんでした。プロダクトチームが行き詰まったとき、Snykのエンジニアリングチームはすぐに使える修正案を用意し、作業が滞らないよう支援しました。
「感心しました。プロダクトチームも、対応にとても満足していました」
成果：スピードと自信
4人の開発者を抱えるチームでも400人のチームでも、導入効果を早く実感できることは重要です。Snykにより、セキュリティリーダーは各チームを逐一追いかけなくても、安全な開発が実践されていることを確認できました。
Chris氏はこう説明します。「開発チームには、安全性を保ちながら迅速に開発を進めてほしい。それは譲れない要件の一つです。Snykは安心感をもたらすレイヤーとなり、チームがスピードを保ちながら正しい取り組みを行っていることを示すデータを提供してくれました」
これは、TechnologyOneのブランド約束である「安全で信頼できるイノベーション」に合致しています。
ノイズが多く非効率なレガシーツールを置き換えたことで、TechnologyOneは広大なコードベース全体を可視化し、脆弱性の修正にかかる時間を短縮しました。
開発者に負担をかけず、開発者体験を向上させる真のシフトレフト
プルリクエストスキャンは一晩で全体に展開されました。Nick氏は「有効にしただけで、開発者の負担を軽くすることができました」と話します。
このシフトレフトの成果は、机上の空論ではありませんでした。数時間に及ぶ再ビルドを招き、リリース承認を遅らせていた、TechnologyOneのSDLCにおけるコストの大きな課題、つまりフィードバックの遅れに直接対処しました。今では開発者は、コードの該当行で数秒のうちに推奨事項を確認できます。
Chris氏は言います。「SnykとIDEを使えば、開発者は該当行を確認して推奨事項を受け取り、数秒で修正して先に進めます」
セキュリティを妨げではなく、推進力に
Snykはセキュリティフィードバックをワークフローに直接組み込むことで、開発者体験を変革し、セキュリティを妨げではなく推進力にしました。TechnologyOneのセキュリティ文化は、多くのエンタープライズソフトウェア企業とは根本的に異なります。
Snykとのパートナーシップにより、TechnologyOneのアプリケーションセキュリティへの取り組みは変革しました。セキュリティを開発の障害と捉えるのではなく、開発ワークフローのスピードと品質を高める中核的な推進力として位置付けています。
Chris氏は言います。「私たちは、開発を後押しする存在として認識されたいセキュリティチームです。『いいえ、できません』と言うことはめったにありません。たいていは『はい、条件付きで可能です』と伝えます」
スピードとセキュリティを両立するこの考え方も、TechnologyOneが働く場として際立つ理由の一つです。
今後の展望：Snyk Learnで開発者トレーニングを拡大
次に、チームごとに状況や技術スタックに合わせたトレーニングを提供するため、Snyk Learnを展開しました。目標は、安全なコーディングを当たり前にすることです。
Chris氏はこう話します。「何百人もの開発者が、それぞれ異なるプラットフォームや技術スタックで作業している場合、繰り返し使えて、個々の課題すべてに対応できるトレーニングを作るのは非常に困難です。これまで開発者向けトレーニングは、『当社の主要製品はこちらです』という内容か、『一般的な内容はこちらです』というもののどちらかでした。その間には大きな隔たりがありました」
Nick氏はこう付け加えます。「Snyk Learnなら、各チームのスタックに合わせたコンテンツを提供できます。だからこそ、知識が定着するのです。一般的なトレーニングを好む人はいません。Snyk Learnの内容は関連性が高く、興味を引き、実際に役立ちます」
ソフトウェアライフサイクルのあらゆる段階にSnykを組み込むことで、TechnologyOneはセキュア・バイ・デザインの文化を築き、開発者が迅速に開発し、自信を持って取り組めるようにしています。その結果、スピードとセキュリティは競合するものではないと実証されました。適切に実践すれば、互いを高め合うのです。