会社・事業について

——貴社について教えてください。

喜屋武さん： 私たちは、暗号資産取引サービス「Coincheck」を運営しています。 金融庁登録済の暗号資産交換業者として、販売所・取引所での売買機能を提供するほか、「Coincheckステーキング」や「Coincheckつみたて」など、暗号資産にまつわる多様なサービスを展開しています 。

小林さん：アプリの特徴は、暗号資産取引ビギナーの方にとっても使いやすい、シンプルで操作性の良いインターフェースを備えている点です。 おかげさまで、アプリのダウンロード数は7年連続で国内No.1（*1）を獲得しており、ユーザー数は年々増加傾向にあります。
(*1)https://corporate.coincheck.com/press/VymoYmIC

Coincheckの操作画面
引用元：https://coincheck.com/ja/article/208

——喜屋武さん・小林さんのお役割について教えてください。

喜屋武さん：二人とも開発・AI本部 セキュリティ部 セキュリティグループに所属しています。ミッションは、コーポレート側およびプロダクト側を含めた「会社全体のセキュリティレベルの向上」で、広範囲に渡ります。

小林さん：私はアプリケーションセキュリティ全般を担当していて現在は、アプリケーションのAPIキーやパスワードといった機密情報について、ハードコード防止策として安全な管理方法への移行を推進したり、CSP（コンテンツセキュリティポリシー）の導入などを行っています。

また、CI周りにおいては、サプライチェーン攻撃への対策などを他のグループと連携しながら実施しています。

開発・AI本部 セキュリティ部 セキュリティグループ 小林さん

 導入に至るまでの背景

——幅広くセキュリティレベルの向上に取り組まれているのですね。KENRO byGMO（以下、「KENRO」）の導入を検討いただいた背景には、どのような課題がありましたか？

喜屋武さん：以前から、開発グループ全体のセキュリティレベルを向上させたいと考えていました。

かつては自分たちでセキュアコーディングの教育教材を作成したこともあります。より実務に役立つ状態を目指して「ISOG-J 脆弱性診断スキルマップ」などをベースに、当社が採用するRuby on Rails向けにカスタマイズしたものを配布していました。

しかし、座学で資料だけ配布しても中々社内に浸透せず、どうしたら実務でセキュアなコードを書ける状態になるかが長年の悩みでした。

小林さん：セキュリティグループの工数負荷も課題でした。CIに組み込んでいるSAST（静的解析）ツールのアラートが通知された際、開発者自身で誤検知かどうかの判断や修正といったハンドリングが難しく、どうしてもセキュリティグループへの相談が集中してしまう、依存状態になっていました。

喜屋武さん：こうした社内的な課題に加えて、外的な要因も重なっています。

一つは金融分野におけるサイバーセキュリティガイドライン(*2)の制定です。この中で開発者にセキュアコーディングの研修を受講させることが明確に求められるようになりました。

(*2)「金融分野におけるサイバーセキュリティに関するガイドライン」の一部改正についてhttps://www.fsa.go.jp/news/r7/sonota/20250704/20250704.html

また、セキュリティコンサルタントによるアセスメントでも、セキュアコーディング研修の実施や、コーディングガイドラインの策定を求められていました。

こうした内部・外部の状況を踏まえ、まずは社内でセキュリティ強化のためのロードマップを作成しました。計画の中で「開発者全体のセキュリティレベルの底上げ」を重要な方針として掲げ、実現に向けた具体的な施策として、学習プラットフォームの導入検討を始めました。

開発・AI本部 セキュリティ部 セキュリティグループ 喜屋武さん

——内的・外的要因の2つがあり、学習プラットフォームの導入を検討されたのですね。導入にあたって重視したポイントは何でしたか。

小林さん： 導入検討にあたっては、まず前提としてRuby on Railsに対応していることを条件に探しました。

その上で、KENROが良いと感じたポイントは大きく2つあります。一つ目は「日本語コンテンツであること」です。Railsを使って学べるサービスは海外製品が多く、どうしても英語のコンテンツが多くなってしまいます。トレーニングの全課程が日本語で提供されている点は大きな魅力でした。

二つ目は実践的なハンズオン形式である点です。単にテキストを読むだけの抽象的な学習ではなく、実際に脆弱性のあるコードを修正し、実践形式で学べる点が他にはない特徴だと思いました。

堅牢化演習は脆弱なソースコードをダウンロードしてコードエディタで実際に修正します。Python、Java、Go、Ruby、PHP、C#の6言語に対応しています。

——実際にトライアルで導入をされた際、受講者の反応はどうでしたか？

小林さん：トライアルで利用したメンバーからは、脆弱性についてRuby on Railsで学べたことで「フレームワークの機能を正しく使えていない実装にリスクがあることが理解できた」と、フレームワークの特性やリスクの所在を正しく再認識できた点が大きかったです。

他にも「Web開発における基礎的な脆弱性の知識を深められたので、今後の実装業務に知識を活用できそう」「コンテンツの内容がわかりやすく、学びが多かった」といった声もあり、非常に好評でした。こうした受講者からのフィードバックを踏まえ、本格的な導入を決定しました。

導入後のご状況

——KENRO導入時のご状況について詳しく教えてください。

小林さん：今回、44名分のライセンスを導入しました。 対象者の選定については、開発グループの中でセキュリティ意識が強く求められる「認証・認可」の実装を扱う部署と、複数部署が連携する「大規模プロジェクト」に関わるメンバーを受講必須としました。それ以外のメンバーについては、希望者を募る挙手制にしました。

必須対象者と希望者の割合はおよそ4：6です。 自ら手を挙げて参加してくれたメンバーが多く、セキュリティへの意識の高さと、KENROへの期待の高さを感じました。

KENROを受講できる期間は約1年間ですが、短期的に集中して取り組んでほしかったため、「1ヶ月を目安に受講してほしい」と依頼しました。 現在はほぼ全員が受講を完了している状態です。

現時点では導入直後のため、実務において成果が見えるまで間が空きそうですが、短期間で受講を完了した比率からもわかるように、全体として素晴らしいサービスだと実感しています。 

——今後のセキュリティにおける目標について教えてください。

喜屋武さん：今後はSASTツールからアラートが出た際、どのくらいの割合で自力で正しくハンドリングできたか、KENROの学習効果を測定していこうと思います。

小林さん：受講者の所属は各グループに分散しているので、KENROで学んだことを活かして、それぞれの現場で率先して生かしてくれるのではないかと期待しています。最終的には、開発とセキュリティを分けるのではなく、一体となって対応ができる「セキュリティチャンピオン」のような制度を導入したいです。KENROによって、実現に向けた土台を築くことができたと感じています。

——喜屋武さん、小林さんありがとうございました！

編集後記

元々高いセキュリティ意識を持ち、様々な取り組みを行ってきたコインチェック様。教材を自作しても、セキュアコーディングへの意識が中々浸透しないという長年の悩みを解決する手段としてKENROがお役に立てたことを大変嬉しく思います。

特に、日本語対応かつハンズオン形式で、Ruby on Railsのソースコードを用いて学べる点を高く評価してくださいました。 アラートのハンドリングなど、セキュリティリスクへの対応の属人化に悩んでいる企業様のご参考になりましたら幸いです。