yamoryと過ごして5年目。組織状態に合わせた運用フロー構築とセットで的確な脆弱性対応が可能に

導入背景

yamory導入前は、運用者による手動での脆弱性検索や、検索効率が悪い状態での外部システムを使った検知を実施していた状況でした。
そのため、

1. 開発者がセキュリティ意識を持ちづらい
2. 情報取得にコストがかかる
3. サービス企画部門(PO)が脆弱性の対処方針を決定しづらい
   

といった課題がありました。

そこで、ライブラリの依存関係が複雑な状況下であっても、緊急度の高い脆弱性を高速/簡単に検知して対応できるような体制を構築するために、ツール導入の検討をはじめました。

比較した軸

ツールを選定するにあたっては、下記3点を重視し検討をしました。

1. エンジニア以外でも使用できる
   
2. 組み込みのコストが比較的低い
   
3. (外部アプリ連携などの)継続運用するための機能を備えている
   

選定理由

実際の導入では「まずは使ってみよう」から入り、違和感なく日々のルーティーンに組み込めた点が決め手になりました。

導入の成果

yamoryを導入後は、主にCSPM機能を使っていますが課題に感じていた「脆弱性の検索効率の悪さ」が解消されたと感じています。

日々開発メンバー自然な形で脆弱性検知結果を確認しPOに共有しています。 脆弱性が確認された場合は、即時に開発メンバー/POの両者で対応影響を協議し、対応可否をスピード感を持って判断し着手可能になりました。

導入に向けた社内への説明

よく使う機能

アーキテクチャ

アーキテクチャの意図・工夫

日々の開発業務の中で自然に検知/通知/対処が可能となるように運用できるかという点を特に意識しました。

運用として、チーム内で自然に毎日確認でき、かつ対応すべき内容があればPO含め即座に検討に移れるよう、Slackに脆弱性報告チャンネルを作成し、毎日のルーティーンとして確認を行う体制を構築しました。

ツールの良い点

ツールの課題点

その他

yamory活用の中で失敗したエピソード

脆弱性検知について影響がでない（例えば外部接続不可なサービスにwebアクセスのみで発生する事象）を多大なコストをかけて即時対応してしまったことがあり、警告してもらった内容を正しく活用できるよう注意を払う様になりました。

ツールを検討されている方へ

ただ組み込むだけでなく、検出結果の確認/対応漏れがなくなるような運用フローを構築することで、上手く活用できていると感じています。
セキュリティ対策をエンジニアのみでなく、POといった関係各位全体の担務として取り組むために利用を検討いただければと思います。