事例インタビュー
AWSのスペシャリストも驚いた、Shisho Cloudの「わかりやすいレポート」
次世代経営管理クラウド「Loglass」を提供している株式会社ログラスのエンジニア・原旅人さんに、「Shisho Cloud」導入の背景や活用してのご感想についてお話を伺いました。
AWSのスペシャリストとして、プロダクト開発の課題を横串で解決
――原さんはログラスでどのようなお仕事をされていますか？
クラウド(AWS)、コンテナ、DBなどの経験・知見を生かしながら、プロダクト開発や運用に共通する課題に、インフラ整備と運用、モニタリング、DB パフォーマンス、セキュリティなどから取り組んでいます。 いわゆるSREといわれる業務にとどまらず、アプリ開発の経験を踏まえて、プロダクトの価値を上げるための開発者支援や運用改善に必要なことは、自らアプリのコードを読み書きしたりするなど、なんでもやろうとしています。
もともとは自分はアプリエンジニアであり、Rustの本（『コンセプトから理解する Rust』,技術評論社）を出版させていただいたりしております。アプリ開発業務の中で AWSサービスに触れる機会があったのですが、AWS サービスの思想とその実装に強い興味と共感をもち、いろいろな AWS サービスのことを学習することが楽しくてたまりませんでした。その学習効果測定として、AWS認定資格は12種類をすべて（当時）取得しました。実務面でも、これまでのキャリアの中でアプリ開発とともにAWS運用に携わる場面が多くありました。また、ログラスに入社する前は、AWSを提供しているAmazon Web Service Japan 合同会社でサポートエンジニアとして働いていました。
――AWSのスペシャリストとして第一線で活躍されてきたのですね。チームとしてはどのような活動をされているのでしょうか？
私の所属しているチームは、プロダクト開発チームの課題解決を横串で考え、各チームに共通するクラウドインフラやセキュリティの課題に取り組むこと、Developer Experience（開発者体験）を高めること、品質を高めることなどをミッションとして、2022年11月に発足しました。現在、チームのなかでも、私はクラウドインフラやセキュリティに従事しています。
――これまで、どのようなクラウドセキュリティ施策を行ってきましたか？
チーム発足後、まずAWSのアカウントやロールのポリシーを整えました。また、今後の組織拡大やセキュリティ監査への対応を念頭に入れ、AWS IAM アイデンティティセンターを導入し、横断的なユーザー管理を始めました。
Shisho Cloudを導入する前は、Trivyを利用してAWSのセキュリティ診断を実施し、検出結果に適宜対応するような流れでリスク管理を行っていました。
継続的なセキュリティチェックの実現を目指し、トライアル利用を開始
株式会社ログラス エンジニア 原旅人さん
――今回、Shisho Cloudの導入検討も兼ねて、トライアル利用をいただきました。トライアル利用を始めた背景について教えて頂いてもよろしいでしょうか
これまでTrivyなどのツールを使ってクラウドセキュリティのチェックはしていたものの、どのように継続的なチェックを行っていくべきかを課題に感じていました。プロダクトの信頼性を担保するために、継続的なクラウドセキュリティのモニタリングを実現したいと思っていたので、モニタリングの仕組みや運用体制がどうあるべきか、試行錯誤しながら検討を進めていました。
そのようなタイミングで、セキュリティ診断でお世話になっていたFlatt SecurityさんにShisho Cloudのトライアルをお勧めいただきました。どのようなことができるのかの検証のため、まずはトライアル利用を始めてみることにしました。
▼セキュリティ診断を実施されたご感想
https://flatt.tech/assessment/voice/loglass
――AWSのスペシャリストである原さんとしても、セキュリティツールの導入は検討したいと考えていたのですか？
クラウドセキュリティの運用効率化とリスク管理の観点から、導入を検討したいと考えていました。
弊社が利用しているクラウドのリソースは極端に大量ではないとはいえ、一定のボリュームがあります。チームで全てをくまなくチェックするのは困難です。また、Shisho Cloudでは検出結果をどう解釈すればよいか、それにどう対処すれば良いかをわかりやすく解説いただけるということだったので、それに対する期待感もありました。
検出結果の背景や対処法も丁寧に解説した、わかりやすいレポートに驚き
――Shisho Cloudのトライアル利用を開始されて、いかがでしたか？
検出結果についての解説がとてもわかりやすかったです。検出結果に関しては、AWSのネイティブサービスでは説明が1行で終わってしまっているものも少なくありません。Shisho Cloudでは、検出結果そのものだけでなく、その背景や対処法についても丁寧に解説しています。いずれも実務に根ざした納得感のある説明で、中には今までにはない気づきもあり、大変勉強になりました。
検出されたリスクや対処法をわかりやすく伝えるShisho Cloudのレポート
リスクを一覧化してくれるインターフェースもとても良いと思いました。直感的に操作でき、わかりやすいです。リスクが重要度ごとに可視化されるため、対応方針の検討に役立ちます。
直感的に操作できるShisho CloudのUI
――Shisho Cloudのトライアル利用をされてから導入に至るまでの「決め手」は何だったのでしょうか？
先程お話した、トライアル利用中に実感したメリットもありますが、AWSとGoogle Cloudの両方に対応していることも導入の決め手になりました。Shisho Cloudを紹介いただいた頃は、ちょうどGoogle Cloudのクラウドセキュリティ強化に着手し始めるタイミングだったので、運用している2つのクラウド環境をカバーできる点が非常に魅力的に感じました。まさに私たちの組織にベストフィットしたプロダクトだと感じました。
手頃な価格でコスト面においても安心感
――導入後のご感想について教えていただいてもよろしいでしょうか。
AWS向け診断のための IAM の設定にはTerraformがサポートサイトに用意されていたので、導入が非常にスムーズで簡単でした。Google Cloudの設定時には、導入手順についてサポートをいただき助かりました。UIもわかりやすく、違和感なく自然と使い始めることができました。
運用を始めると「S3の削除MFAが設定されていない」という検出結果が上がってきたことがありました。正直なところ、こういったクラウドセキュリティ診断結果として、初めて見る指摘でした。レポートに記載された、このアラートの意味や背景についての解説を読んだところ、納得感をもって理解を深めることができ、新しい気づきにもつながりました。期待通り、機能も網羅されていたので、私としては非常に満足度が高いです。
AWS Security HubやAWS Configなどのネイティブサービスを利用していた時は、設定を間違えてしまうと、意図しない形でスキャンが行われてしまい、結果的にコストが膨大になってしまうというリスクもあることが懸念の一つでした。Shisho Cloudの利用料金はリソースの額に応じて決まるシンプルなモデルなので、コスト面に関しても見積もりが容易にできて安心して利用できます。また、価格がお手頃だったので、導入を即決することができました。
――普段の業務において、どのようにShisho Cloudを活用されていますか？
Slackと連携して、リスク検出時や対応ステータス変化時の通知をSlack上で受けるようにしています。
新たなリスク検出時や対応ステータス変化時、Slackへの即時通知が可能
とはいえ、導入したばかりでSlackの通知設定をまだ活用しきれていないこともあり、現状、ダッシュボードを毎週必ずチェックするようにはしています。今後は通知設定を調整して、Slack通知だけをチェックすればトリアージが完結するような運用フローに移行していきたいと考えています。
クラウドセキュリティ初心者〜上級者まで幅広い方にお勧め
――今後のShisho Cloud活用のビジョンについて教えてください。
今後、運用するクラウドのリソースは増えていくと思いますが、Shisho Cloudを活用することで、セキュリティレベルが一定担保された状態を保ち続けていきたいです。クラウド側の仕様変更による設定不備などの予期せぬリスクを、Shisho Cloudが事前に素早く検知してくれることも期待しています。セキュリティインシデントにつながる恐れのあるリスクを検知し、対処を促してくれるというのがこのプロダクトの強みだと思っていますので、そういった特徴を踏まえながら活用を進めていきたいです。
また、先程もお話したとおり、Slackへの通知ルールは現時点ではまだ整理しきれていないのですが、どのようなルールが私たちのチームに最適か、模索していきたいと考えています。
――Shisho Cloudはどのような方におすすめしたいですか？
AWS Security Hubなどのネイティブなサービスを使ってはいるものの、大量に出てくるメッセージに困惑していたり、コスト予測の難しさに困っていたりするエンジニアの方は少なくないと思います。そういった方たちに、Shisho Cloudをお勧めしたいです。
どれだけクラウドに詳しいエンジニアが運用していたとしても「思わぬ穴」は防ぎきれないと思います。また、自分では良かれと思って対応したことでも、裏目に出てしまうケースもあるのではないでしょうか。
まずは一度、Shisho Cloudでスキャンして、レポートを読んでみていただきたいです。レポートを読むと、検出されたリスクの背景や重要度の判断基準について理解を深めることができます。
導入フローが簡単ですし、価格もお手頃なので、幅広い組織・レベル感の方にお勧めできるプロダクトだと感じています。クラウドセキュリティのチェック体制をこれから作っていこうとしている方や、クラウドセキュリティを強化したいけれど、具体的な手段を見つけられていない方も、Shisho Cloudを試してみても良いのではないでしょうか。
――最後に、Shisho Cloudに期待していることがあれば、教えてください。
Shisho Cloudには様々な活用メリットがありますが、マルチクラウドに対応しているというのが、このプロダクトの最大の魅力に感じました。複数のクラウドサービスに精通しているエンジニアがなかなかいない中で、弊社にもピッタリのサービスでした。運用している複数のクラウドの棚卸しからリスク管理までを完結できるのは大きな強みだと思います。
今後は対象サービスの拡大に期待しています。特に、弊社は今後Azureの活用も進めていく予定ですので、現状のインターフェースでAzureも管理できるようになるととてもありがたいです。