事例インタビュー
「開発者フレンドリー」な診断体験が決め手。柔軟なコミュニケーションで定型メニューの枠を超え潜在リスクを洗い出す
・年次計画の一環で実施
・社内での対策に加え、第三者視点でのセキュリティ検証の必要性を感じていた
・NFC利用機能をはじめ、定型外の脆弱性診断を依頼したかった
・Webアプリケーション / API診断（リスクフォーカス型プラン）
・スマートフォンアプリ診断 カスタムプラン
・コーポレートサイト（WordPress）診断
・Google Cloud診断
・レポートではリスクのみならず脅威の再現手順まで記載されていてわかりやすい
・指摘事項がMarkdown形式でも納品され、タスク管理ツールに起票しやすくありがたい
・社内での共有もスムーズで情報共有の工数が少なく済んでいる
会社・事業について
——貴社について教えてください。
タイミーは、「『はたらく』を通じて人生の可能性を広げるインフラをつくる」というミッションを掲げ、スポットワークのマッチングサービス「タイミー」を運営している会社です。
「今すぐ働きたい」と考えている働き手の「ワーカー」様と「明日すぐにスタッフが欲しい」といった事業者様のニーズを結びつけるマッチングサービスを通して、時間や場所に制約されない、自由な働き方を提供しています。
ワーカー様にとっては、アプリひとつで好きな時間・好きな場所でお仕事を見つけられる利便性を、事業者様にとっては、必要なタイミングで必要な人材を確保できる即戦力の仕組みを作っています。
株式会社タイミー エンジニアリング本部プラットフォームエンジニアリング部 部長 恩田拓也様
現在では飲食・小売・物流など幅広い業界でご利用いただき、2024年12月に累計ワーカー数が1000万人を超えました。
https://corp.timee.co.jp/news/detail-4006/
画像出典：https://corp.timee.co.jp/service/
——恩田様のお役割・ご担当領域について教えてください。
エンジニアリング本部プラットフォームエンジニアリング部の部長として、プロダクトセキュリティを担当しています。プラットフォームエンジニアリング部はプロダクトの品質管理や開発生産性の向上に日々取り組んできましたが、セキュリティの専任者が定まっていませんでした。
そこで、プラットフォームエンジニアリング部の一チームとして2025年6月に「プロダクトセキュリティ部門」を発足させました。
プロダクトセキュリティ部門では、開発の初期段階からセキュリティチェックを行う「シフトレフト」を推進し、脆弱性が潜むリスクを低減させています。万が一、脆弱性を発見した際も迅速にトリアージを行い、早急に対応できる体制を整えています。
弊社のサービスはワーカー様の個人情報や契約先の企業様の機密情報を取り扱っており、なおかつその量が膨大です。お預かりした大切な情報を守り抜くために、セキュリティの強化は欠かせない取り組みだと考えています。
脆弱性診断の実施背景・目的
———今回の脆弱性診断の実施背景について教えてください。
以前より定期診断を実施していましたが、2023年に担当者が変更になったタイミングで、複数のセキュリティ診断ベンダーを比較検討しました。そこでGMO Flatt Security（以下、Flatt）を選定し、同年より継続的に診断を依頼しています。現在では、年次の定期診断に加え、プロダクトの状況に応じたスポットでのイレギュラーな診断もお願いしています。
初めて診断依頼をした2023年から2024年にかけて、当社のサービスユーザー数は急拡大し、社会的に大きな注目が集まっていることを感じていました。このような状況下で、ユーザーからの信頼を守ることは事業成長には不可欠です。そこで、社内でのセキュリティ施策強化に加え、より効率的・効果的な第三者検証が行えるセキュリティ診断ベンダーを探していました。
ベンダー選定基準・ Flattの評価
———2023年当時の診断先の選定において、どのような点を重視しましたか？
依頼先を選定するにあたって、
①詳細なレポートから指摘箇所の具体的なリスクがわかり、修正対応時に社内での連携がスムーズに取れること。
②技術力に定評があり、政府情報システムにおける脆弱性診断導入ガイドライン(*)の実施要件レベルで充足する診断が可能であること。
③エンジニアと診断士が直接Slack上のやりとりで仕様等についてコミュニケーションができるなど、弊社のカルチャーや組織状況にフィットすること
この3点を重視していました。Flattには前職でも診断を依頼していて、この条件を満たす信頼できるパートナーであると感じています。
特に、レポートは質が高いと思っています。一般的に、診断ベンダーのレポートは検出された脆弱性の一覧が記載されていますが、Flattの場合は指摘箇所について「そのリスクを悪用するとどのような実害が発生する恐れがあるのか」や「具体的にどのように修正すれば良いのか」まで記載があり、修正対応の方針立てに役立っています。
(*)政府情報システムにおける脆弱性診断導入ガイドライン：https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/b08708cd/20240131_resources_standard_guidelines_guidelines_05.pdf
———継続的に発注いただいている理由は何でしょうか。
開発側に寄り添ってくれるスタンスです。通常、見積もりの段階ではテンプレート化された「ヒアリングシート」に情報を記入する場合が多い一方、Flattは、診断士の方が当社のエンジニアとSlack上で直接コミュニケーションを取ってくれるため、アプリケーションの仕様など、こちらの意図を非常に柔軟に汲み取ってくれます。この点が大変ありがたいです。Flattは口頭での打ち合わせやSlackでのやり取りのみで理解してくれるので説明工数が少なく済みます。
さらに、定型の診断メニューだけではなく、要望に合わせて臨機応変に対応してくれる点も助かっています。以前は直近1年間に改変されたコードの差分に絞って診断をしてもらいました。今回はNFCを利用した勤怠管理機能についても、スマートフォンアプリ診断の観点をカスタマイズして対応してもらっています。
こうした柔軟な対応や負担の少ないコミュニケーションから「開発者フレンドリー」な会社だと感じています。
今回の脆弱性診断内容
ご要望を踏まえ、スポットワーク型マッチングサービスやインフラ部分の定期診断に加え、スマートフォンアプリに対しては観点をカスタマイズした上で診断を実施しました。また、コーポレートサイトの脆弱性診断も併せて実施しました
<今回の診断メニュー>
Webアプリケーション/API診断（リスクフォーカス型プラン）
スマートフォンアプリ診断 カスタムプラン
WordPress診断
Google Cloud診断
———今回の診断はいかがでしたか？
レポートに結果から修正の方針まで情報が一つに集約されていたことで、どの課題から優先して対応すべきか、社内でスムーズに意思決定ができ、プロダクトマネージャーへの説明工数を大幅に削減できました。
また、指摘事項がPDFのみならずMarkdown形式でも提供された点もありがたかったです。社内で修正依頼をする際にタスク管理ツールにチケットとして起票すれば担当者に任せることができたので業務負担が少なく済みました。
詳細なレポートは今後セキュリティ体制を内製化していく上で、自社ならではのセキュリティ対策のナレッジを蓄積できる点でも非常に役立っています。
———診断時のコミュニケーションはどうでしたか？
Slack上でやり取りできるため、メールのようなかしこまったコミュニケーションが少なく効率的にやり取りできました。特に、アプリの起動確認やGoogle Cloudの接続設定といった細かい調整を、SREメンバーと円滑に進めることができました。
今後の取り組み
———今後貴社で力を入れていきたい取り組みは何ですか？
開発の初期段階からセキュリティ対策を組み込んでいくシフトレフトをさらに推進していきたいと考えています。具体的には、要件定義の時点でリスク分析や脅威モデリングを実施し、非機能要件としてセキュリティ要件を明確に定義していきたいと思っています。
また、ソフトウェアサプライチェーンに起因する問題など、常に発生しうる様々なセキュリティ脅威に対しアンテナを張り、迅速に情報収集できる体制を構築していきたいです。
———弊社に期待することを教えてください。
シフトレフトを加速させるために、機能仕様におけるセキュリティ観点でのレビューや、セキュリティツールが出力した結果のトリアージ業務をサポートしてもらえるとありがたいです。設計段階でプロフェッショナルの知見を借りることで、開発の後半で大きな手戻りが発生することを防げると考えています。
また、将来的にはセキュリティ対策の内製化強化を目指しています。診断結果の共有や勉強会形式のディスカッションを通じて、社内のエンジニアへ教育的なサポートをしていただけることも期待しています。