課題

• エンジニアが学ぶべき技術が多くなっており、若手エンジニアのセキュリティに関する学習が後回しになっていた
• 今まで外部研修を受講したことはあったが、時間的・場所的な拘束があり、受講者の足並みがそろわなかった

効果

• 自分のペースでセキュリティについて学べるため、通常業務と両立しながら受講ができた

今回は情報システム部　コンピテンシーマネジメントグループ　グループ長の岡嶋友さん、システムエキスパートの高野孝之さん、清水淳也さんにインタビューし、KENROを導入した経緯、感想、効果を伺いました。

BtoC、BtoB、社内向けシステムを情報システム部内で開発

――まずは、アットホーム様の開発体制について教えてください。

清水淳也さん（以下、清水さん）：開発を担う情報システム部は現在、約150名の正社員が所属しています。また、協力会社の方にもご協力していただいています。

社内には5つの開発チームがあり、それぞれのチームでエンドユーザー向け、法人向けサービス、社内向けシステムのほとんどを内製で開発しています。

――数多くのサービスを運営・開発していますが、今までどのようなセキュリティ施策に取り組んできたのでしょうか。

清水さん：サービスをリリースする前にはセキュリティ診断を依頼しています。信頼できる診断会社に依頼しつつ、常に相性のいい診断会社を探してもいます。ISO27001、27017を取得しており、それを維持するためのセキュリティ研修をはじめとした活動を実施しています。

若手エンジニアのセキュリティ技術の習得が後回しになっていた

――エンジニアのセキュリティ教育については、どのような課題を持っていましたか。

岡嶋友さん（以下、岡嶋さん）：エンジニアが開発業務をする上で学ばなければいけないことが多すぎて、若手エンジニアのセキュリティ技術の習得が後回しになっていることに課題を感じていました。

高野孝之さん（以下、高野さん）：また、オンプレミス環境からクラウドへ移行し、新たなセキュリティホールも懸念されます。ここ3～4年でシステム開発の内製化を推し進めており、外部委託する範囲を減らしていることもあいまって、エンジニア自身が開発段階でセキュリティを意識することが重要になってきていると考えています。

今までは各々が独学で技術書やWeb上の記事を読んで学んだり、自分で探してきた外部研修を受けたい人がいたら、会社から予算を出して受講してもらったりしていました。しかし、独学ではなかなか足並みがそろいませんし、外部研修の場合は場所的にも時間的にも制限があり、効率的ではありません。

――セキュリティ教育に課題を感じている中、どのような経緯で「KENRO」を知っていただけたのでしょうか。

清水さん：上司からの紹介です。「『KENRO』というサービスがあるから先方の話を聞いてみてほしい」という話があり、Flatt Securityさんと打ち合わせをすることに。もともと、エンジニア向けの教育サービスを導入する予定はなかったのですが、実際にデモンストレーションを利用したら、画面が見やすくレベル感も合っているように感じたので、「ぜひ利用してみよう」という話になりました。

――もともと予算にはなかったとのことですが、導入までスムーズに進んだのでしょうか。

清水さん：アットホームは、「いいサービスは積極的に利用し、社員や会社に還元しよう」という文化があります。もちろん予算との兼ね合いもありますが、必要なサービスだと判断したら、積極的に導入するようにしています。

入社2年目以降の若手エンジニア20名が受講

――「KENRO」を利用した感想を教えてください。

高野さん：社内ではJava、PHP、Ruby、Python、C#など様々な言語を使用していますが、私は普段、C#で開発しています。「堅牢化演習」ではC#に対応していたため、スムーズに進めることができました（※）。

※編集注：「堅牢化演習」はコードを書いて脆弱性を修正する演習です。修正するソースコードはPython・Java・Go・PHP・Ruby・C#から選ぶことが可能です。

清水さん：UI/UXが良かったですね。私も受講内容の中では堅牢化演習が非常に勉強になりました。脆弱性について書籍やWeb上で知識は学べるものの、「KENRO」では実際にコードを書いて修正できるので、より実践的な学習ができました。

――どのように運用しているのでしょうか。

高野さん：受講者の対象は、入社2年目以降の若手エンジニア20名です。アットホームで採用する新卒社員はプログラミング未経験者がほとんどのため、セキュリティ技術はハードルが高いと思い、入社2年目以降の若手が受講することになりました。

受講期限は開発スケジュールを考慮し、2021年8月から2021年年末まで、と長めに設定しています。そのおかげで通常業務と両立でき、自分のペースで受講できているようです（※）。

※編集注：受講可能期間は12か月です。

進捗管理は特にマネジメントしていませんが、Microsoft Teams上で、受講者同士が相談し合ったり上司に質問をしてヒントをもらったりして進めていますね。

――今後、どのように運用していく予定ですか。

岡嶋さん：個人的には、来年度以降も2年目に入った社員には、外部研修の代わりとして「KENRO」を受講してもらえたらと考えています。