「業務委託のSREを1人採用できた感覚」でAWSセキュリティを効率化

サービスの大規模化・複雑化を受け、プロダクトセキュリティに着手

―――堀江さんはCTOとしてどのようなお仕事をされていますか？

主力事業であるLIPSの開発・運用責任者を務めており、プロダクトの開発から運用までを幅広く見ています。CTOとして経営サイドの業務もしながら、プロダクトマネージャー、テックリード、エンジニアリングマネージャーを兼ねているような状況です。

プロダクトセキュリティやSREに関する体制づくりのほか、それらの領域に関する技術的なサポートなども行っています。

―――プロダクトセキュリティの取り組みを本格的に始めたきっかけを教えてください。

LIPSの運営も7年目に突入し、美容・コスメ系サービスとしては国内でトップクラスのシェアを確立しました。元々は「コスメの口コミサイト」というtoCサービスとして始まったLIPSですが、toBやEC等のサービスも始まり、近年では事業が大規模化かつ複雑化し続けています。

これまで以上にプロダクトセキュリティへの対応が急務となり、2022年頃から、プロダクトセキュリティ体制の構築に本腰を入れて取り組み始めました。内部規定の作成や採用活動を進めながら、技術的な体制構築も並行して実施しています。

―――どのような体制でプロダクトセキュリティ施策を進めていますか？

プロダクトセキュリティに関しては、インフラ部がメインで担当しています。

インフラ部はSREやプロダクトセキュリティに関する活動をしている非公式組織です。2019年の創設当初はインフラ関連領域を中心に取り組んでいましたが、徐々に担当領域を広げ、現在の形になりました。

弊社には専任のSREやセキュリティエンジニアは在籍していません。元々マルチスタック志向が強く、自分の専門領域にとらわれず活動するメンバーが多いため、このような組織での活動を行っています。

▼インフラ部の活動紹介記事
https://note.com/appbrew/n/nb1866e180c88

限られたメンバー・時間でクラウドセキュリティ強化を図るには最適のプロダクト

株式会社AppBrew CTO　堀江慧さん

―――今回、Shisho Cloudの利用を始めた背景について教えて頂いてもよろしいでしょうか。

先程お話したとおり、プロダクトセキュリティ体制の構築は直近の大きな課題の1つとなっていました。どのように体制構築を進めていくか、社内のガイドラインを決めつつ、プロダクトのセキュリティレベルを担保するため、まずはプロダクトを対象とした脆弱性診断（セキュリティ診断）を実施することに決めました。

弊社はモバイルアプリを開発しており、インフラをAWSに乗せ、Webサーバーを運用しています。セキュリティ診断を実施する際は、クライアント側・サーバー側・プラットフォーム側のそれぞれに対し、どのように優先順位をつけて実施するか整理しました。

まずはWebサーバーのバックエンドをスコープとして、Flatt Securityさんに診断を依頼したのですが、その次にクラウドセキュリティの強化に着手したいと考えていました。

ちょうどそのタイミングでShisho Cloudを紹介いただきました。AWSのセキュリティ体制構築に活用できるツールということで、まさに探していたものでした。実際に使ってみると、非常に使い勝手が良かったので、すぐに導入判断に踏み切りました。

―――導入の決め手について教えてください。

まず、導入が非常に簡単でした。こういったツールの導入には工数がかかることも少なくないため、トライアル利用を始めるのにも腰が重くなりがちでしたが、Shisho Cloudの導入はスムーズでした。AWSとの連携さえすれば、役に立つ情報がすぐに出てきたので良かったですね。導入が簡単な一方、アウトプットされる情報が有益なので、導入の費用対効果が大きいと感じました。

検出結果の優先順位を示すShisho Cloudのダッシュボード

その上で、実際にアウトプットされた情報を見てみると、緊急度があらかじめ分類されていたり、解説ドキュメントが充実していたりと大変わかりやすかったです。専任のSREがいない弊社では、AWSのドキュメントを解読するのにも一苦労、という状態が続いていましたが、そのペインをしっかりカバーしてくれるツールだと感じました。重要度の高い項目から効率的に対応できるようになり、クラウドセキュリティに関する社内のリテラシーも向上しそうだという印象を持ちました。

検出されたリスクや対処法をわかりやすく伝えるShisho Cloudのレポート

インフラ部のメンバーはフルタイムでSREやセキュリティに関わっているわけではなく、それらの領域に「広く薄く」関わっています。領域への興味・関心やリテラシーは持っているものの、業務として関わることのできる時間は限られていました。限られたメンバーで限られた時間、クラウドセキュリティに効率的に取り組む上で、Shisho Cloudは最適なプロダクトなのではないかと思いました。

Shisho Cloudの活用で40h/月の工数を削減

―――どのようにShisho Cloudを活用されていますか？

インフラ部の短期プロジェクトの中で活用しています。「半年後には優先度が高いイシュー全てを対応済にする」ということをゴールに据え、Shisho Cloudを使ったセキュリティチェックを実施し、検出事項のうち優先度が高いイシューへの対応を進めています。

毎月開催しているインフラ部の定例MTGの中で、対応するイシューの分担を決め、それぞれの進捗を確認しています。

―――実際に活用を始められて、いかがでしたか？

「優先度が高い課題を決められた期限までに解決する」というゴールを明確に作り、Shisho Cloudというツールで対応すべき課題と進捗を可視化できたことで、インフラ部のメンバーでもクラウドセキュリティの定期運用をしていくことができるというビジョンが見えてきたように思います。

活用を進める中で疑問や課題が生じたこともありましたが、機能面から契約面まで、弊社に寄り添った形で柔軟にご調整いただけたので、非常に助かりました。

特に、Meta社のData Protection Assessment（DPA）への対応についてもサポートいただけたのも印象に残っています。証憑としてShisho Cloudの出力結果を利用することができることを教えていただきました。導入時には想定していなかったShisho Cloudの活用方法でしたし、思いがけないサポートでしたが、大変ありがたかったです。

―――活用を始めてからの効果について教えてください。

まず、導入直後にクリティカルな脆弱性の存在に複数気づくことができました。パブリッククラウドには多くの設定がありますが、1つでもうっかりしているとクリティカルな脆弱性を作ってしまう可能性があります。それを自動で網羅的に確認できるのは非常に助かる、という声がインフラ部のメンバーからも挙がっています。

また、他のメンバーからは「40h/月くらい稼働してくれる業務委託のSREを雇えた感覚」という感想も挙がりました。弊社では脆弱性の検出から対応方法の提案まで、これまで40h/月ほどの対応工数がかかっていました。この対応工数が削減されたような感覚だと聞いています。

「組織としての説明能力向上」を目指して

―――今後、Shisho Cloudに期待していることがあれば、教えてください。

アラートが検出される基準や網羅性など、プロダクトの技術的信頼性の根拠となるファクトがもっとわかりやすく示されるようになると良いなと感じています。「Shisho Cloudを使っていれば、セキュリティリスクの網羅的なチェックができ、対応漏れがなくなる」という安心感がより感じられるようになると良いなと思っています。

―――最後に、今後のプロダクトセキュリティに関するビジョンについて教えてください。

事業フェーズの変化とともに、社内外にプロダクトセキュリティの取り組みや考えをしっかり伝えていくための説明能力をつけていくことも、組織として必要になってきているように思います。今回の短期プロジェクトを経て、プロダクトセキュリティの体制づくりだけでなく、証憑づくりや説明能力の向上といった取り組みも欠かせないことだと改めて認識しました。それらにバランスよく取り組んでいくための仕組みをどう作っていくか、これから考えていきたいです。

―――堀江さん、本日はありがとうございました！