事例インタビュー

オンボーディングプログラムを通じて、セキュアなクラウド運用を1から実現

課題

・チーム横断的にセキュアなマルチクラウド運用を実現できる体制・ポリシーの整備
・事業拡大に伴い運用体制整備が急務となっていたが、人的・時間的リソースが限られていた

決め手

・コードベースでポリシーを管理できる、Shisho Cloudのカスタマイズ性の高さ
・運用体制構築をハンズオンでサポートするオンボーディングプログラムの存在

効果・感想

・自社の組織体制にフィットする形でGoogle Cloudの運用体制やポリシーを構築
・限られた人的・時間的リソースの中でもGoogle Cloudのセキュアな導入・運用を実現

国内外の開発チームを横断的にサポートし、開発者体験向上を目指す

―――お二人はどのようなお仕事をされていますか？

田島さん：グループのCTO兼CISOとして、グループ内のプロダクト開発チームが円滑に開発に取り組めるようプラットフォームエンジニアリングやプロダクトセキュリティに取り組んでいます。

石橋さん：プラットフォームチームで、全社的な開発者体験を向上する仕組みづくりを進めています。

プラットフォームチームは全社的な基盤を整え各チームに提供することで、全体最適による開発者体験向上を目指す組織です。グループには国内で現在80名ほどの開発エンジニアが在籍しており、17の開発チームが存在しています。弊社のエンジニアは特定の領域のみを担当せず、内製開発のサイクルの中で必要となる各工程をカバーし合うような形で開発を進めているのが特徴です。

―――どのような体制でプロダクトセキュリティ施策を進めていますか？

田島さん：プロダクトセキュリティについては、基本的に全てのプロダクト開発チームが自分たちの責務として取り組んでいます。これはセキュリティに限らず、QAなどのプロダクトにまつわる他の領域についても当てはまります。特定のチームや特定のエンジニアのみが責任を持つ、属人的な技術領域を作らないような形で組織づくりを進めてきました。

各チームが個別にプロダクトセキュリティを担保する仕組みを作ってしまうと非効率的なので、石橋さんの所属しているプラットフォームチームで全社的な仕組みの導入やチーム横断的なサポートを行っています。

クラウドの活用範囲拡大を見据え、マルチクラウドの運用体制強化へ

株式会社Finatextホールディングス取締役CTO/CISO　田島悟史さん

―――クラウド運用を進める中で、どのような課題を感じられていたのでしょうか？

田島さん：弊社ではAWSとGoogle Cloudのマルチクラウド環境を構築しています。現時点ではAWSをメインで活用しているのですが、事業成長に伴い、Google Cloudを活用する場面も徐々に増え始めています。

AWSに対しては、各開発チームがコードベースでクラウドの設定管理を行えるCSPMのような仕組みを自社で開発・運用しており、現在ではチーム横断的に活用が進んでいます。

一方、Google Cloudに対してはそのようなセキュアな運用の仕組みを模索していた段階で、AWSと比較すると少しギャップがありました。そのため、AWSと同等の運用を最終的に実現していくためにも、まずは運用体制や運用ポリシーの整備を進めていきたいという思いがありました。

―――今回、Shisho Cloudの利用を始めた背景について教えて頂いてもよろしいでしょうか。

田島さん：AWS向けに開発・運用している自社CSPMをGoogle Cloud向けにも作るという選択肢もあったのですが、対応工数等のコストを考えて、今回はサードパーティー製のCSPMを導入することに決めました。

SaaS全般に言えることだと思いますが、製品導入時のチューニング次第では「導入したが組織に定着しなかった」「使い勝手が良くなかった」という結果になるリスクが高く、特にCSPMではそのような傾向が強くなっています。そのため、チーム横断的かつ継続的な運用を見据えて導入するためには、予防的統制と発見的統制を切り分けて考えてCSPMでカバーする範囲とそうでない範囲を事前にきっちり決めておくことや、誤検知のアラートが大量発生しないようにポリシーを定めることなどが重要になると考えていました。

人的にも時間的にもリソースが限られている中でこういった準備に取り掛かる必要があったため、Flatt Security CTOの米内さんに「何か良い方法はないですか？」とご相談したところ、Shisho Cloudとオンボーディングプログラムのご提案をいただきました。

運用体制構築に向けた「オンボーディングプログラム」が導入の決め手に

―――初めてオンボーディングプログラムについて聞いた時の印象はいかがでしたか？

田島さん：製品導入のレクチャーに留まらず、週次のミーティング等を通じて運用課題の整理や運用体制構築に対するアドバイスをいただけるという内容で非常に魅力的でした。プログラムの内容も画一的ではなく、一緒に課題解決に向けて動いてもらえそうな印象を受けました。

Shisho Cloudの機能面に対しては弊社が求める必要条件を満たしていそうだという所感を元々持っていました。ポリシーをコードベースで記述できるなどカスタマイズの柔軟性が担保されているというお話を伺っていたからです。

どちらかというと、その機能を使いこなせるか、組織に定着させられるかといった点に関して懸念があったので、オンボーディングプログラムを通じてそういった懸念を払拭できそうだと感じ、導入を進めることに決めました。

―――実際にShisho Cloudを利用されてみて、いかがでしたか？

石橋さん：システムの構成をコードベースで管理するInfrastructure as Code(IaC)のカルチャーが根付いている弊社と親和性の高い製品なのではないかと思いました。

弊社は金融事業を展開しているため、CIS Benchmarksの各項目だけでなく、金融業界が定めたFISC基準等のポリシーや、独自のセキュリティポリシーを追加する必要が出てくる場合も少なくありません。Shisho Cloudでは自分たちでコードを書けば、カスタマイズしたポリシーを簡単に作ることができるため大変効率的でした。

田島さん：セキュリティ強化を図るためにポリシーを追加する場合ももちろんありますが、運用面の効率化を図るために追加する場合もあります。例えば、CSPM上のログ出力先を変更したり、監査対応等のためログ取得〜出力までのデータの流れを出力したりするためにはポリシーの修正や追加が必要です。カスタマイズできる範囲が限られているCSPMも多い中、Shisho Cloudはカスタマイズの自由度が高いのが特徴になっていると感じました。

プログラムを通じて本質的な課題に向き合い続け、製品活用に留まらない効果を実感

株式会社Finatext リードエンジニア　石橋淳志さん

―――オンボーディングプログラムではどのようなことに取り組まれてきましたか？

田島さん：Shisho Cloudを使う前に、Google Cloudの設定からご支援いただきました。Google Cloudのロールやプロジェクトの粒度を決めた後、予防的統制にすべき部分と発見的統制にすべき部分の切り分けを行っていきました。その上で、Google Cloudの利用状況を分析できる環境を作り、予防的統制に関わる設定を反映しても問題ないか、確認しながら進めていきました。

ここまでが第1段階でしたが、この段階ではShisho Cloudそのものはまだ活用していません。最初は驚きましたが、今振り返ってみても非常に本質的な進め方だと感じました。オンボーディングプログラムでここまでサポートしていただけたのは大変ありがたかったですね。

石橋さん：AWSで適用しているガードレールも参照しながら、Goodle Cloud運用で必要な課題を整理していくことができました。もしこれがツール活用のみに特化した形のオンボーディングプログラムだったら、「導入して終わり」という結果になってしまっていたのではないかと思います。

田島さん：そうではなく、本質的な課題に向き合い続けることのできるプログラムだったので、期間中も「しっかり進められているな」という実感がありました。

―――第1段階が終わった後はどのように進められましたか？

田島さん：予防的統制の設定が終わった後は、発見的統制の設定に移りました。石橋さんが中心となって、Shisho Cloud上に検知したい条件の設定を反映していきました。

石橋さん：具体的には、Shisho Cloudにて標準で提供されているポリシーを確認した後、コードベースで設定していきました。

また、Shisho Cloudを使うことで、社内のGoogle Cloudのプロジェクトを一覧化できたので、不要なプロジェクトの整理やプロジェクト作成時のワークフロー構築、プロジェクトの権限設定の自動化等も平行して進めました。米内さんにも色々とサポートしていていただきながら、カスタムポリシーを自分たちでいくつか作ることもできました。

限られたコストの中でもGoogle Cloudのセキュアな導入・運用が可能に

―――オンボーディングプログラムを体験されてみて、いかがでしたか？

田島さん：Shisho Cloudというよりは、Google Cloud自体をセキュアに運用するためのオンボーディングプログラムと言っても差し支えない内容だったと思います。プログラムを通じて、Shisho Cloudの管理設計や活用方法に対するアドバイスをいただけただけでなく、Google Cloudをセキュアに運用するための組織設計についても議論し整理することができました。プログラムの内容とShisho Cloudというツールを組み合わせることで、Google Cloudを適切に導入・運用するための体制やポリシーの構築という課題を解決していくことができました。

石橋さん：プログラムでShisho Cloudそのものについて触れたのは全体の3割ほどだったと記憶しています。

田島さん：元々Shisho Cloudの使い方や機能に関して懸念はなく、むしろGoogle Cloud側の仕様や設定に関する知識が不足していることに懸念を感じていました。先程お話ししたとおり、Google Cloudの運用経験がまだあまりない状態で始めたので、運用時に陥りがちなミスやTipsなどを自分たちだけで把握していくのは非常に難しかったからです。

プログラムではそういったGoogle Cloudに関する基礎知識についても教えてもらえたので、そういった知識のリサーチや整理・共有を時間をかけずに進めることができました。

―――プログラム終了後、どのような効果を感じられましたか？

検出事項の件数が継続的に改善されていくイメージ

田島さん：Google Cloudの予防的統制・発見的統制の両軸を整理できたことで、検知頻度が改善され適度にアラートが上がるようになりました。

石橋さん：本格的に運用してみないと見えてこない課題も今後出てくるのではないかと思いますが、想定しうる課題は事前に潰すことができたので良かったです。

Shisho Cloudはマネージドサービスとして利用しても便利なツールだと思いますが、導入したそれぞれの組織で、導入後それをどう活用するか、組織体制に合わせた形で運用するにはどうすれば良いかを考える必要が出てきます。プログラムでのサポートを受けることで、そういったポイントを抑えながら効率的に進められたように思います。

クラウドセキュリティの第一歩を踏み出したい組織にお勧め

―――Shisho Cloud、そしてオンボーディングプログラムはどのような企業・組織におすすめしたいですか？

田島さん：クラウドを運用し始めて、ある程度運用体制が整っている組織はShisho Cloudを導入すべきだと思います。一方で、クラウドを導入したばかりで運用体制が整っていない場合、すぐにShisho CloudなどのCSPMサービスを導入するのではなく、運用体制の構築から始めるべきだと思います。導入後に検出される大量のアラートの内容を精査できなくなり、結果としてリスクが低減されなくなってしまうからです。

石橋さん：オンボーディングプログラムは、Shisho Cloudのようなツールを導入することをゴールとするのではなく、運用体制の構築やポリシー策定などの本質的な課題に向き合っていきたい組織にお勧めしたいです。対応事項の優先順位付けや運用体制の構築に関してコンサルティングを受けられるだけでなく、セキュリティの専門家の方々と対話しながら取り組みを進められるので、クラウドセキュリティの第一歩として最適だと思います。

―――今後、Shisho Cloudに期待していることがあれば、教えてください。

石橋さん：カスタマイズポリシーを作成した時に、抜け漏れがないか検証しやすくなるとより便利になるのではないかと思います。

また、コミュニティモジュールのような形で色々なカスタマイズポリシーがホスティングされるようになると嬉しいですね。今後Shisho Cloudのユーザー企業は増えると思いますので、ユーザー企業間でベストプラクティスや知見を共有できる環境ができるとメリットがより大きくなりそうです。

田島さん：オンボーディングプログラムについては、現状のものからさらに踏み込んだ内容へと深化していくことに期待しています。Flatt Securityさんには日本のプロダクトセキュリティを背負っていく企業になってほしいと思っています。このプログラムを通じて日本のセキュリティ人材育成を牽引していっていただきたいです。