Policy as Codeを実践するチームだからこその悩みをShisho Cloudが解決

AIを活用した生活者向け症状検索エンジン「ユビー」や、医療機関向け診療支援サービス「ユビーメディカルナビ」を開発・提供しているヘルステックスタートアップ・Ubie株式会社のセキュリティエンジニア 水谷正慶さんに、「Shisho Cloud」導入の背景や活用してのご感想についてお話を伺いました。

社内の各領域でPolicy as Codeの取り組みを着実に進める

――水谷さんはユビーでどのようなお仕事をされていますか？

セキュリティエンジニアとして、プロダクトセキュリティを推進しています。SREを含めた3人体制のチームで、プロダクトに対するセキュリティ施策やクラウドセキュリティを含めたインフラ周りのセキュリティ施策、設計レビュー等などに取り組んでいます。

最近は認証基盤の開発も始めています。プロダクトごとに認証基盤を開発してしまうと脆弱性が生まれやすくなりがちため、セキュリティエンジニアである私も開発チームに加わり、プロダクト共通のセキュアな認証基盤を開発し、実装まで手掛けています。

――ユビーでは、Policy as Codeの取り組みを始められているとお聞きしました。

現時点ではインフラ領域での取り組みがメインになっていますが、プロダクト開発の現場でも手応えを感じており、プロダクトのコードによる制約を別のコードに定義して管理するなど、できるところから少しずつ始めています。今後は、社内の認可制御やプロダクト開発時の禁止事項などをポリシーベースで管理できるような仕組みを作り、Policy as Codeを社内に浸透させていきたいと考えています。

▼水谷さんによるPolicy as Codeの解説記事
https://zenn.dev/mizutani/articles/94e456baf9ffec

「できることならマネージド・サービスを使いたい」と思った理由

Ubie株式会社 セキュリティエンジニア　水谷正慶さん

――Google Cloudのセキュリティ機能はどのように運用されていましたか？

弊社ではGoogle CloudのSecurity Command Centerを利用して、クラウドセキュリティのチェックを行っていました。

Security Command Centerにはユーザー側で定めた運用ポリシーに基づいて、アクセスやリソースの利用を制御できる機能があります。しかし、コードベースで規定した運用ポリシーを管理したり、それに基づいてアクセスやリソースの利用を制御したりできる機能はまだありません。そのため、自分でセキュリティ課題の自動対応ツール「AlertChain」を開発し、Security Command Centerに連携することで、Policy as Codeに基づいた運用を実現させていました。

▼水谷さんが独自に開発したセキュリティ課題の自動対応ツール「AlertChain」
https://github.com/m-mizutani/alertchain

――今回、Shisho Cloudの導入検討も兼ねて、トライアル利用をいただきました。トライアル利用を始めた背景について教えて頂いてもよろしいでしょうか。

Policy as Codeに基づいた運用が始まったものの、内製ツールの運用を続けていくとメンテナンスにコストがかかるので課題を感じていました。プロダクトや会社の成長に伴い、対処すべきセキュリティ課題も増えている中、ツールのメンテナンスに多くの時間を割くことはできません。「できることなら信頼できるマネージドサービスに切り替えたい」と思っていました。

そのようなタイミングで、Flatt SecurityさんがクラウドセキュリティにおけるPolicy as Code運用をサポートするSaaSを開発しようとしているという噂を聞きました。面白そうだなと思い、お話を伺うことにしました。

「他のプロダクトにはない独自機能」と「充実したレポート」が導入の決め手に

――Shisho Cloudのトライアル利用をされてどのようなメリットを感じましたか？

他のプロダクトにはない、独自のビジョンが良いと思いました。クラウドのセキュリティリスクを検出してくれるプロダクトは、世の中にたくさんあると思いますが、Shisho Cloudのように検出のみならず検出結果の管理や対処法にまで視野を広げているプロダクトはまだあまりないのではないでしょうか。

何かしらのプロダクトを使って課題を検出できたとしても、その後が大変なんですよね。検出結果のリストに対して、「上から順番に対応していこう」と決めて対応していっても、往々にして途中で力尽きてしまうのではないかと思います。仮に全てをチェックできたとしても、リスク判断や対応方針が記録として残されていないと、次に同じような課題が検出された時にまた一から考えなければならず、無駄な対応を強いられることになります。

トライアルを開始するまで、私たちはSecurity Command Centerの検出結果をGitHubに転送してIssueとして起票し、Issueの中でリスク判断や対応方針などを記録するという流れで対応していました。Security Command CenterとGitHubは直接連携していないので、何も設定しないと対応済のIssueはSecurity Command Center上のアラートとして残り続けてしまいますし、残り続けたアラートをGitHubがまた拾ってしまうという事態が起きてしまいます。そのため、定期的にSecurity Command CenterとGitHubの設定を行う必要があり、検出結果の管理に苦労していました。

Shisho Cloudでは、検出結果の管理のほか、それぞれの検出結果に対する記録の保存も可能です。「どう対処するのか／なぜ対処しないのか」「それをいつ判断したか」などのリスク判断や対応方針の記録なども、このプロダクトだけで完結できます。他社プロダクトにはない強みで、私たちセキュリティチームの負担軽減にもつながるのではないかと感じました。

Shisho Cloudでは、検出結果の確認だけでなく、検出結果の管理やリスク判断・対応方針の記録なども可能

――導入に至った「決め手」は何だったのでしょうか？

先程お話した検出結果の管理やリスク判断等の記録ができる機能も良かったのですが、検出結果に対する充実したレポートも決め手になりました。検出結果について、それがどのようなもので何が問題なのかを事細かに解説しており、対応方針の検討に必要な判断材料を一通り揃えていただいているように感じます。今後、プロダクト開発チームなどの独自にリソースを運用しているチームへのトリアージの委譲がよりスムーズにできそうだと感じました。

検出されたリスクや対処法をわかりやすく伝えるShisho Cloudのレポート

エンジニア目線で「とても嬉しい」ワークフロー機能

――トライアル利用を経て、Shisho Cloudを本格的に導入いただきました。導入後のご感想について教えていただいてもよろしいでしょうか。

まだ完全に使いこなせているわけではないのですが、ワークフロー機能が魅力的だと感じました。ポリシーをコードベースで管理できるのに加え、GitHubともしっかり連携できるので、エンジニア目線で見るととても嬉しい機能です。今後はもっと活用していきたいと考えています。

セキュリティポリシーの管理単位であるワークフローは GitHub で管理可能

――普段の業務において、どのようにShisho Cloudを活用されていますか？

僕も所属しているセキュリティチームで、Shisho Cloudの運用を続けています。毎週の定例MTGの場で、チーム全員で必ずShisho Cloudのダッシュボードの内容を確認するようにしています。

重要度の高いリスクが検出された際、どう対処すべきかチームで検討するのですが、セキュリティチームにはSREのメンバーにも加わってもらっているので、「どのようなコンテキストでその設定になっているか」という背景情報についても詳しく教えてもらい、対応方針の判断の参考にしています。

クラウドセキュリティの対応ステータスが直感的にわかりやすいShisho Cloudのダッシュボード

ソフトウェアエンジニアリングに寄り添ったShisho Cloudの今後に期待

――今後のShisho Cloud活用のビジョンについて教えてください。

Security Command Centerや私が開発したセキュリティ課題自動対応ツール「AlertChain」は、今でも使い続けています。今後、クラウドセキュリティの監視体制をどうしていくのか、さらに検討を進めていくつもりです。個人的には、Shisho Cloudに全て寄せていければと考えています。

――Shisho Cloudはどのような方におすすめしたいですか？

Shisho CloudはDevSecOpsというコンセプトそのものに近いプロダクトだと感じています。個人的には、ソフトウェアエンジニアリングを理解した上で、プロダクトセキュリティに取り組んでいるエンジニアの方にはおすすめしたいです。GitHubとの連携やワークフローの管理などは、GitHubのActionsと近い考え方で作られているものだと思いますので、そういったエンジニアの方々との親和性が高いように思います。また、カスタマイズ性も高いので、自分たちで色々なインテグレーションを試してみたい人にも刺さるのではないでしょうか。

ソフトウェアエンジニアからセキュリティエンジニアに転身した方や、趣味でソフトウェア開発をしているセキュリティエンジニアの方などがこれに当たると思います。

組織規模で言うと、スタートアップから大手企業まで幅広い企業に訴求できるプロダクトだと思いますが、特にアーリーフェーズのスタートアップにおすすめしたいです。そのぐらいのフェーズでは、何かインシデントが起きてもそこまで大きな問題になることはあまり多くないですし、セキュリティに注力しなくてもやりすごせてしまいがちです。しかし、逆にそのフェーズからShisho Cloudを活用してセキュリティリスクを把握し、対処していけると他社に対する大きなアドバンテージになるのではないかと思います。

――最後に、Shisho Cloudに期待していることがあれば、教えてください。

期待していることしかないですね（笑）。

先程お話したように、Shisho Cloudはソフトウェアエンジニアリングを理解している人が使いやすいプロダクトになっているのですが、おそらく今後もそのようなコンセプトを大切にされていくのではないかと思います。これからも「クラウドセキュリティにまつわる様々なタスクを、ソフトウェア開発の手法を使って効率化していく」というコンセプトのもと、プロダクトをより発展させていってほしいです。

――水谷さん、本日はありがとうございました！