開発チーム主導のセキュリティ運用をShisho Cloudで実現!
株式会社Hacobu / ichisuke
チームリーダー / バックエンドエンジニア / 従業員規模: 101名〜300名 / エンジニア組織: 11名〜50名
| 利用プラン | 利用機能 | ツールの利用規模 | ツールの利用開始時期 | 事業形態 |
|---|---|---|---|---|
Basicプラン | Webアプリケーション診断 | 11名〜50名 | 2025年6月 | B to B |
| 利用プラン | Basicプラン |
|---|---|
| 利用機能 | Webアプリケーション診断 |
| ツールの利用規模 | 11名〜50名 |
| ツールの利用開始時期 | 2025年6月 |
| 事業形態 | B to B |
アーキテクチャ

アーキテクチャの意図・工夫
日々の開発業務の中で、診断/通知/対応のサイクルが回るように、運用可能かどうかを意識しました。 プロダクトごとにdevelop環境とstaging環境の扱いが異なるので、どちらの環境で診断するかはプロダクト単位で選択してもらうようにしています。 定期的な脆弱性診断を行える環境を用意しながら、コードベースでのセキュリティレビューをセキュリティ診断エージェント(Takumi)を併用することで、DAST/SASTの両立を図れるようにしています。
導入の背景・解決したかった問題
導入背景
ツール導入前の課題
Webアプリケーション脆弱性診断を年1回の頻度で定期的に行っていましたが、手動による診断を外部業者に都度委託していたため、時間も費用もかかる運用になっていました。 その結果、既存プロダクトの機能追加・修正時に、オンデマンドで脆弱性診断を実施したいという現場ニーズに十分応えられていませんでした。
どのような状態を目指していたか
- 年単位の定期的な診断ではなく、より短い周期でシステムによって自動で脆弱性診断が実行される状態
- 機能開発のサイクルの中に脆弱性診断を組み込むことで、Shift-left な開発プロセスを実現できている状態
- 自動診断により人的依存を減らし、セキュリティリスクの可観測性が高まっている状態
- プロダクトチームがセキュリティ品質を主導できている状態
比較検討したサービス
- Securify
比較した軸
- コスト(価格)と導入の容易さ
- 誤検知の少なさ(精度)
- ダッシュボード・診断レポートの分かり易さ
- 認可診断や多様な診断項目
- エンジニアフレンドリーな使用感・操作性
選定理由
- 弊社サービスがマルチテナントSaaSモデルのため認可診断ができる点
- 診断Endpointの追加が手軽にできる点
- ダッシュボードが見やすく、診断結果の内容やレビューが詳細に確認できる点
- プロダクトFBを上げた際に、迅速に連絡いただき機能追加、修正対応を行なっていただいた点
- 追加の契約ではあるが、AIエージェントによるソースコードベースのホワイトボックス診断が可能な点
導入の成果
解決された課題・得られた成果
導入が済んでいる一部のプロダクトでは、日次で脆弱性診断と認可診断が実行されており、検知された脆弱性や認可バイパスについてトリアージを行い、解消まで対応できています。その運用サイクルを継続的に回せている点も、大きな成果だと感じています。 さらに、新規に追加される機能についても定期的に Endpoint 登録を行うことで、新機能に対しても同様の診断を実施できています。
導入時の苦労・悩み
社内のほぼすべてのプロダクトに導入を進めていますが、同時期に OSS のライブラリ/ライセンスについて、脆弱性情報の収集・トリアージ・管理を行う仕組みの導入も並行して進めていました。 そのため、Shisho Cloudを用いたシステムによる自動の脆弱性診断については一部のプロダクトのみが先行して導入・運用している状況となっています。 また、開発チームにはプロダクト開発に加えてこれらのセキュリティ対策も実施してもらう必要があり、キャッチアップや学習コストの確保が今後の課題です。
導入に向けた社内への説明
上長・チームへの説明
チーム横断のセキュリティWG内で評価、導入まで進めていた点、事前に経営層には脆弱性診断やセキュリティを担保するための予算の確保について動いていたため、スムーズに導入できました。
活用方法
よく使う機能
- Webアプリケーション・API診断
- ダッシュボードでプロダクトごとの診断レポートの確認
- Takumi(セキュリティ診断AIエージェント) ※オプションサービスとして契約
- 週次のマージ済みのPRに対するリスク診断レビュー
- ソースコードベースでのロジック脆弱性診断
ツールの良い点
- 脆弱性診断に加え、認可診断をEndpoint単位で行える点
- 診断実行用のWorkFlowのカスタマイズができること
ツールの課題点
- 初期設定や運用フローを整えるための学習コスト
ツールを検討されている方へ
使いこなすには少し学習コストが必要なため、セキュリティ対策チームで主導するか、各開発チームごとに導入をリードできる担当者を立てて進めるとスムーズに導入が進むと思います。 一度導入できれば、自動で定期的にスキャンされSeverityに応じたリスクが診断レポートとして確認できるので、レポートラインや経営層への説明にも役立てるため、機能開発等で忙しい開発組織にマッチするツールだと思います。
今後の展望
全ての公開プロダクトに対して定期的なシステムによる自動脆弱性診断が行われており、また開発サイクルの中に組み込むことでセキュアな開発プロセスの実現とセキュリティの継続的な改善を行える環境を作っていきたいです。 あわせて、プロダクトチーム自らがセキュリティ品質を語り・改善していける「セキュリティ文化」を社内に根付かせていくことも目指しています。
株式会社Hacobu / ichisuke
チームリーダー / バックエンドエンジニア / 従業員規模: 101名〜300名 / エンジニア組織: 11名〜50名
よく見られているレビュー
株式会社Hacobu / ichisuke
チームリーダー / バックエンドエンジニア / 従業員規模: 101名〜300名 / エンジニア組織: 11名〜50名
レビューしているツール
目次
- アーキテクチャ
- 導入の背景・解決したかった問題
- 活用方法


