yamoryと過ごして5年目。組織状態に合わせた運用フロー構築とセットで的確な脆弱性対応が可能に

yamory導入前は、運用者による手動での脆弱性検索や、検索効率が悪い状態での外部システムを使った検知を実施していた状況でした。
そのため、

1. 開発者がセキュリティ意識を持ちづらい
2. 情報取得にコストがかかる
3. サービス企画部門(PO)が脆弱性の対処方針を決定しづらい
   

といった課題がありました。

そこで、ライブラリの依存関係が複雑な状況下であっても、緊急度の高い脆弱性を高速/簡単に検知して対応できるような体制を構築するために、ツール導入の検討をはじめました。

ツールを選定するにあたっては、下記3点を重視し検討をしました。

1. エンジニア以外でも使用できる
   
2. 組み込みのコストが比較的低い
   
3. (外部アプリ連携などの)継続運用するための機能を備えている
   

実際の導入では「まずは使ってみよう」から入り、違和感なく日々のルーティーンに組み込めた点が決め手になりました。

yamoryを導入後は、主にCSPM機能を使っていますが課題に感じていた「脆弱性の検索効率の悪さ」が解消されたと感じています。

日々開発メンバー自然な形で脆弱性検知結果を確認しPOに共有しています。 脆弱性が確認された場合は、即時に開発メンバー/POの両者で対応影響を協議し、対応可否をスピード感を持って判断し着手可能になりました。

yamory活用の中で失敗したエピソード

脆弱性検知について影響がでない（例えば外部接続不可なサービスにwebアクセスのみで発生する事象）を多大なコストをかけて即時対応してしまったことがあり、警告してもらった内容を正しく活用できるよう注意を払う様になりました。

ただ組み込むだけでなく、検出結果の確認/対応漏れがなくなるような運用フローを構築することで、上手く活用できていると感じています。
セキュリティ対策をエンジニアのみでなく、POといった関係各位全体の担務として取り組むために利用を検討いただければと思います。