手動診断×自動診断で深さと幅広さを両立。高頻度な脆弱性診断でも開発生産性を損なわない

会社・事業について

ドクターメイト株式会社 ジェネラルマネージャー 榎本陽祐さん

——貴社について教えてください。

ドクターメイトは「持続可能な介護のしくみを創る」をビジョンに掲げている会社です。医師である代表が、病院で勤務していた際に気づいた課題を解消するために設立されました。

介護施設に入居されている高齢者の方々は、医療的な課題を抱えている方が非常に多く、医療ニーズは増加傾向にあります。しかし、介護施設の医療への対応力は必ずしも十分ではなく、ギャップが存在します。施設内で解決しようとするあまり症状が悪化するまで病院に来なかったり、逆に来院不要なほど軽い症状で来院されたりといった課題がありました。

それらの課題を解消すべく生まれたのがドクターメイトです。

——事業内容について教えてください。

医療相談と医療教育を支援する事業を行っています。

プロダクト一覧

医療相談のオンラインサポートとして、日中帯の介護施設の医療的な相談に対応する「日中医療相談」、認知症などの相談に対応する「オンライン精神科医療養指導」、「皮膚科オンライン診療サポート」を運営しています。夜間に困りごとが発生した際の電話対応を代行する「夜間オンコール代行™」、介護現場に必要な「医療知識」習得を支援するe-ラーニングサービス「DM-study」も運営しています。

脆弱性診断の実施背景・目的

——セキュリティが事業に与える影響について教えてください。

医療情報などのセンシティブな情報を扱うため、顧客にとって弊社のセキュリティ体制は重要です。昨年ISMSを取得しましたが、セキュリティ対策を行っていることを示すのは事業成長の助けになると考えています。セキュリティは顧客に安心してもらうための大前提です。

脆弱性の定期的な診断含めセキュリティに関する要件は多くあり、持続的にセキュリティを担保する観点でもセキュリティ対応が必要となります。

——脆弱性診断の実施背景について教えてください。

チームとしてセキュアな開発に努めていました。また、脆弱性診断を行う以前も、コードレビューやインフラのレビューなど人力である程度の対策は行っていました。一方で、社内での対策にとどまっていたため、第三者の視点を入れたいと考えていました。

一番懸念していたことは、エンジニアが気づかないところでセキュリティホールができてしまうことです。一般的なプラクティスに則って開発しているため、SQLインジェクションのような対策が確立されている脆弱性については対策できていたと思います。一方で、想定外の脆弱性に気づかずにシステムを稼働し続けてしまうリスクを懸念していました。

今回の脆弱性診断実施内容

——ご要望を踏まえ、全体に対する広範な診断は安価なShisho Cloudの自動診断で担保しつつ、特に重要な介護施設向け医療アクセスサービスに対して部分的な手動診断を実施することにより「量と質」を両立するプランを提案させていただきました。

——医療アクセスサービスの診断に注力し、手動診断を実施した理由は何ですか？

最も機密性の高い情報を扱うからです。医療情報は最優先で守りたい情報なので、守れていることを第三者視点でも確認したいと考えていました。

——診断において重視していたことがあれば教えてください。

高頻度の診断、診断コストの最適化、エンジニア負担軽減の3点を重視していました。

診断コストの最適化にも関係するため、診断の頻度から話します。セキュアな開発を実現するために、デプロイ前に診断を行い、NGの場合はデプロイできないようにすることを考えていました。CI/CDパイプラインに診断を組み込むイメージです。

次に、診断コストの最適化には、診断対象と診断頻度の2つの観点がありました。まず診断対象についてですが、弊社は多数のシステムを保有しています。診断対象が多く、全てを手動診断で対応するとコストが大きくなり、費用対効果が合わないと考えていました。また、高頻度でシステムをリリース・改善する中で、毎度手動診断を実施していたら年間の費用は膨大なものになるため、診断の実施頻度の観点でもコストと安全性のバランスが課題でした。そこで、コストを最適化しつつ、効果的な診断を行う方法を検討していました。

最後に、エンジニアの負担軽減です。これまでの経験上、脆弱性診断を実施する際には申込やテスト環境の用意などの準備作業が多く発生する印象がありました。開発チームの負担が大きいため、高頻度で準備の負担をさせることには抵抗がありました。また、診断期間中にデプロイを止めるのも難しいと感じる部分がありました。そのため、できるだけ開発生産性を下げることなく脆弱性診断を実施したいと考えていました。

——弊社からの提案の印象・決め手を教えてください。

良いと思った点は、手動診断にShisho Cloudを組み合わせることによって実現できる診断頻度と網羅性です。多数のシステムを保有している当社でも、定期的に脆弱性診断を受けられることは魅力的でした。最初にしっかりと手動診断を実施し、その後は機械で定期的に診断するサイクルを守れば問題ないという手応えがありました。対象範囲が広いのは非常にありがたいと感じました。

——逆に懸念点がありましたら教えてください。

懸念点は、初めての利用であったため、診断の精度が分からなかったことです。ただ、手動脆弱性診断のサンプルレポートを見ることで診断内容のイメージを持つことができました。また、見積もり段階でGitHubリポジトリ内のソースコードを確認していただき、診断対象範囲の提案をいただいたことも安心につながりました。

サンプルレポートの一部

手動診断と自動診断の結果を比較してみても一貫性があるように感じられ、その点でも問題なかったと感じています。

組織・業務の変化

——運用面での変化はありましたか？

良い意味であまり変化はありませんでした。運用を変えず、負担を増やさない方針でしたが、その制約下でもShisho Cloudを無理なく取り入れることができました。検知に気づかないことは問題なので、Shisho CloudとSlackを連携し、何かあればすぐに気づいて対応できる体制にしています。そこは変化していますが、全体としては大きく変更せずに定期的な診断を導入できました。

——実際の対応について教えてください。

Shisho Cloudは一定の診断サイクルを決めてスケジュール実行をしています。CI/CDパイプラインへの組み込みと同様のセキュリティ対策を実現できています。

システムごとに開発チームが存在するのですが、Shisho Cloudの運用は、通知が来た時だけ該当するチームが対応するようにしています。通知が来た時だけ対応する形なので、認知負荷を上げずにセキュアな状態を作ることができたと捉えています。手動診断のレポートもチームに展開し、修正するかどうかを議論しています。修正する場合はスプリントに組み込んで修正しています。レポートを見て対応に迷うことはありませんでした。

今後の取り組み

——セキュリティに関する今後の取り組みを教えてください。

医療・看護という特性上、個人情報の取り扱いが多いため、認証認可のアーキテクチャも含めたセキュリティ強化とUXを両立させて、より使い勝手の良い安全なサービスの提供を目指します。

具体的には、ソフトウェアだけではなく、クラウドインフラのセキュリティも強化し、より安全なクラウド環境を構築していきたいです。

また、診断に対する感度を高め、セキュリティへの意識をチーム全体で向上させていきたいです。Shisho Cloudを理解している人を増やしたいですし、チームとして脆弱性診断のあるべき姿についてもっと議論できるようになると良いと考えています。

脆弱性診断は現在の方法で継続していく予定です。やはり、自分たちが気づかない、意識の外にあるリスクを未然に防いでいきたいと考えています。

振り返り

——診断の感想を教えてください。

純粋に「頼んで良かった」と感じています。改めて、最適なコストで高頻度の診断を複数のサービスにわたって実施できる点が良かったです。私の常識を覆してくれた、課題に感じていたことに対する最適な解決策だったと思っています。

——貴社と同じような課題を抱えている企業に対して、導入を検討する際のアドバイスがあれば教えてください。

Shisho Cloudは早い段階で導入するのが良いと考えています。CI/CDの考え方と親和性が高く、開発サイクルへの組み込みに適していると感じています。

先述の通り、一定の診断サイクルを決めてスケジュール実行することができるため、インテグレーションやデリバリーのタイミングで診断を入れることが可能になります。

当初、同様のことは手動診断でやるしかないと思っており、多額の費用がかかることから、予算や費用対効果の都合上、現段階で実現するのは難しいと考えていました。

Shisho Cloudのようにコストをある程度抑えて導入できるのであれば、問題は早期に解決できるに越したことはありません。PMFが見えている前提で、なるべく早い段階で導入するのが良いのではないでしょうか。

——榎本さん、本日はどうもありがとうございました！

今回の取材にご協力いただいた榎本様は中央区のTech企業が集まる勉強会「CHUO Tech」にご登壇されており、「脆弱性診断に悩まない！クラウド診断導入のススメ  〜 開発スピードを落とさずに、安心を手にいれる 〜」という発表の中でShisho Cloudについて言及いただいております。資料が公開されていますのでぜひこちらからご覧ください。