SREとセキュリティエンジニアのギャップを埋める「コミュニケーションツール」としてShisho Cloudを活用

アプリ開発・運用・分析をノーコード（プログラミング不要）で提供するアプリプラットフォーム「Yappli」を開発・提供している株式会社ヤプリの開発3部・部長 望月真仁さんに、「Shisho Cloud」導入の背景や活用してのご感想についてお話を伺いました。

会社のフェーズに応じてインフラ部門に求められる役割が変化

―――望月さんはヤプリでどのようなお仕事をされていますか？

会社のIT基盤全般を管理・運用する部門の責任者を務めています。弊社が開発・提供しているアプリプラットフォーム「Yappli」のインフラから、社内のITインフラまで、会社のIT基盤に関わる領域を幅広く担当しています。

私が管掌している部門は、「Yappli」のインフラであるAWSやGoogle Cloudのセキュリティを担うSRE、コーポレートIT、ISMS・Pマークの取得も含めたコーポレートセキュリティとプロダクトセキュリティを担うセキュリティエンジニアという3つのロールからなっています。2023年7月現在、SREは5名、コーポレートITは4名、セキュリティエンジニアは1名という体制です。開発エンジニアは約100名在籍しているので、弊社の中では比較的小規模な組織と言えると思います。

――会社のIT基盤全般を管掌されている中で、課題感や悩みはありましたか？

担当範囲が多岐に渡っている上、少数精鋭のチームでカバーしているので「ボールが落ちないようにすること」は意識してきました。課題の取りこぼしや対応漏れがないよう常に確認し合っています。

また、会社が成長し、フェーズが変わっていくうちに私たちの部門に求められることも変わってきているように感じています。「セキュリティ」は、その最たる例です。2020年末の上場を機に、経営課題のうちの1つとしてセキュリティが大きくクローズアップされ、私たちの部門で取り組みを進めることになりました。当時は専任のセキュリティエンジニアもおらず、また私達の部門としても初めての取り組みだったので、組織としてセキュリティを推進していく過程で様々な困難もありました。しかし、試行錯誤の末、ある程度形が見えてきたように思います。

▼[SRE NEXT 2022]ヤプリのSREにおけるセキュリティ強化の取り組みを公開する
https://speakerdeck.com/mmochi23/sre-next-2022-yappli

直近で注力しているのは「セキュリティの効率化」です。これまではコストをあまり意識することなく、セキュリティ対策をどんどん進めてきましたが、これからは事業の黒字化を目指すためにコスト統制が必要になってきます。とはいえ、セキュリティは決してないがしろにしてはいけないものなので、「いかにコストパフォーマンス良く、高いセキュリティレベルを維持するか」が課題となっています。

セキュリティは「SREのミッション遂行のために欠かせないファクター」

――ヤプリのクラウドセキュリティを担っているSREチームについて教えて頂いてもよろしいでしょうか。

ヤプリのSREチームは、一般的なSREとしての役割を果たしているのはもちろん、「エンジニア組織にSREを定着させる」という明確なミッションを持って活動しているのが特徴的だと思います。「SREという言葉が出てこなくても、自然とエンジニア組織全体でSREを実践できている」状態になることを目指して、SREとして日々実績を積み、社内に向けてアピールし続けています。

ヤプリのエンジニア組織では週に一度、WinSessionなどの発表機会が設けられており、様々な領域のエンジニアが集まって、業務から得た知見や成果などを共有しています。登壇者は手挙げ方式で、発表の内容も登壇者に委ねられているので、SREチームのメンバーはこういった場を活用して、日々の実績をアピールしています。また、こういったイベントを通して様々な領域のエンジニアと交流することで、「SREに巻き込むための土台づくり」にも繋がっているようです。

――プロダクトセキュリティに対して、SREチームはどのようなモチベーションを持っているのでしょうか？

SREはプロダクトの信頼性の担保や、安定的な提供をミッションとしていますが、それらとセキュリティは切っても切れない関係性にあると考えています。例えば、セキュリティインシデントが起きてしまうと、それだけでプロダクトの信頼性は損なわれてしまいますし、場合によっては安定的な提供も難しくなってしまいます。

SREのミッションを遂行するためには、セキュリティは欠かせないファクターの一つだと思っています。先程お話した会社のフェーズや経営戦略の変化もあり、現在、ヤプリのSREチームはプロダクトセキュリティに最も注力しています。

セキュリティの自動化・運用効率化のための施策を検討

株式会社ヤプリ 開発3部・部長　望月真仁さん

――今回、Shisho Cloudの導入検討も兼ねて、トライアル利用をいただきました。トライアル利用を始めた背景について教えて頂いてもよろしいでしょうか。

プロダクトセキュリティの推進に舵を切り、様々な施策を進めてきたものの、セキュリティ専任人材についてはまだ不足していました。そのため、セキュリティレベルを落とさずに、セキュリティ対策の自動化や運用の効率化を実現するための施策を検討することになりました。

クラウドセキュリティの継続的な検査も検討課題の1つとなっていましたが、サードパーティのCSPMについては、私個人としては当時あまり関心がありませんでした。CSPMを活用する前提として、AWS Security HubやConfigなどのネイティブなサービスをしっかり運用していくことが必要不可欠だと考えていたためです。

一方、検討を進めていたタイミングで、SREチームの三橋さんがShisho Cloudの紹介を受けました。クラウドセキュリティに関する他社製品とも比較した上で、最も使い勝手が良さそうとのことだったので、「トライアル利用だけでもやってみようか」という話になり、トライアル利用を始めることにしました。

――AWS Security Hubを含む、AWSのセキュリティ機能はどのように運用されていましたか？

AWS Control Towerを導入したり、Inspectorをオンにしたりしていたので、「クラウドセキュリティの可視化」は出来始めていた段階でしたが、正直なところ、あまり活用しきれているとは言えない状態だったと思います。セキュリティリスクを統合的に管理して、何か起きた場合は速やかに対応できる体制を構築したかったのですが、そのような体制には至っていませんでした。

トライアル利用で「実運用のしやすさ」を確信

――Shisho Cloudのトライアル利用をされてから導入に至るまでの「決め手」は何だったのでしょうか？

トライアル利用時は三橋さんを中心に、SREチームで検証を進めました。AWS Security Hubの実運用が難しかったという経験もあり、「クラウドセキュリティに関するプロダクトは運用するのが難しそう」という印象がありましたが、実際に使い始めると、各サービスとの連携や導入の流れ、検出結果に対するレポート・通知がシンプルで、直感的に使いやすそうという印象を持ちました。

直感的に操作できるShisho CloudのUI

AWSのネイティブサービスでは、検出結果に対して「どのようなリスクがあるのか」「どう対処すれば良いのか」を読み解くのが難しかったのですが、Shisho Cloudではそのような観点を抑えた日本語話者向けのレポートを提供してもらえます。文章もとてもわかりやすく、すっと理解できたのでありがたかったです。

検出されたリスクや対処法をわかりやすく伝えるShisho Cloudのレポート

SaaSで提供されているのも重要なポイントのうちの1つでした。SaaSのプロダクトは機能追加・拡張がしやすいと思いますので、今後の進化に期待が持てます。

SREチームと検証を進める中で、「AWSのネイティブサービスよりも実運用に乗せやすいプロダクトだ」と確信しました。

▼Shisho Cloudトライアル利用時のご感想
https://tech.yappli.io/entry/shishocloudtrial

SREとセキュリティエンジニアのギャップを埋めるコミュニケーションツールとしても機能

――トライアル利用を経て、Shisho Cloudを本格的に導入いただきました。導入後のご感想について教えていただいてもよろしいでしょうか。

トライアル時にも実感していたことではありますが、私たちが目指すクラウドセキュリティのあり方や、それに必要な機能を備えているように感じました。まだ運用を始めたばかりなので、すべての機能を活用できているわけではありませんが、今後運用が定着すれば新しい活用方法や機能要望のアイデアも浮かんでくるかと思います。

――普段の業務において、どのようにShisho Cloudを活用されていますか？

現在は、SREチーム＋セキュリティエンジニアという体制で利用しています。1人目の専任のセキュリティエンジニアが2023年5月に入社したこともあり、SREチームとセキュリティエンジニアというメンバーで「セキュリティワーク」と題した隔週の定例ミーティングを行うことにしたのですが、このミーティングで話しあう題材として選んだのがShisho Cloudでした。

セキュリティワークでは、Shisho Cloudを画面投影しながら、重要度の高い順に検出結果を確認しています。検出結果に対するレポートを読み合わせた上で、SRE・セキュリティエンジニアそれぞれの立場から意見を出し合い、対応方針やトリアージについて議論しています。定期的に行うことで、検出結果を放置せず、地道にリスクを減らしていく体制が出来上がりつつあると感じています。

Shisho Cloudでは、検出結果の詳細確認や、リスク判断・対応方針の記録なども可能

このような場が生まれたことで、SREとセキュリティエンジニア双方に大きなメリットが生まれたように思います。SREのみでは判断に困ることも多い検出結果の優先度や重要度に関して、セキュリティエンジニアから意見をもらえると大変心強いです。また、セキュリティエンジニアにとっても自社プロダクトのインフラの構造や現状を把握するのに役立っているようです。

Shisho CloudはSREとセキュリティエンジニアのギャップを埋めるコミュニケーションツールとしても機能しています。こういった取り組みを通じて、Shisho Cloudの運用を組織により定着させていきたいと考えています。

――導入にあたっての懸念はありませんでしたか？

「導入はしたものの、組織に定着しない」という状況に陥らないか懸念していましたが、Flatt Securityさんに親身に相談に乗っていただけたので、組織に定着させるための取り組みを検討し実行することができました。運用サポートの面でも満足度が高いです。

さらなる組織への定着と活用を目指す

――今後のShisho Cloud活用のビジョンについて教えてください。

セキュリティワークを通じて、なんとなく活用の方向性が見えつつあるように感じています。

ここから半年ほどは組織への定着を図るため、色々な使い方を試しながら、弊社にあった活用方法を模索していく予定です。Shisho Cloudもますます進化していくと思いますので、プロダクトのアップデートを踏まえながら新しい活用方法を考え続けていきたいです。

――Shisho Cloudはどのような方におすすめしたいですか？

これからクラウドセキュリティに本格的に着手しようとしている組織やAWS・Google Cloudのネイティブサービス運用で悩んでいる組織におすすめしたいです。弊社と同じぐらいの規模感の組織にはとてもマッチするのではないかと思います。

SREやセキュリティエンジニアだけでなく、社内基盤としてAWSやGoogle Cloudを活用している会社の場合は、コーポレートITの方にも利用シーンがあるかもしれません。

――最後に、Shisho Cloudに期待していることがあれば、教えてください。

Shisho Cloudは、クラウドセキュリティの強化に舵を切り始めた組織にぴったりのサービスです。クラウドセキュリティを始めたばかりのフェーズの組織では、日々のセキュリティに関する情報収集も一苦労だったり、情報収集をしても実業務に落とし込むことが困難だったりという課題感があるのではないかと思います。

将来的に、Shisho Cloudにはセキュリティトレンドと実業務の間をつなぐ役割を担ってほしいです。「最近このようなインシデントが増えているから、設定を見直してみませんか」「セキュリティトレンドを踏まえてこのような設定がおすすめです」といったサジェストがもらえるなど、私たちに新しいアクションを促すようなサービスになってもらえると嬉しいなと思っています。

――望月さん、本日はありがとうございました！