開発スピードに、診断も追いつく。日経が進めるシフトレフトとセキュリティ文化の醸成

背景と課題

日本経済新聞社は、日本経済新聞の発行を核にしつつ、日経電子版をはじめ、「日経ID」に基づいたさまざまなデジタルサービスのほか、データベースサービスなど幅広いBtoB事業を、4つのドメインにまたがって展開している。多くの個人情報を預かり、さらにメディアという読者に信頼される質の高い情報を提供する事業を展開していることから、これらサービス・プロダクトのセキュリティ確保は常に重要な課題だった。

CDIO室セキュリティチームでは、セキュリティ対策を推進しインシデント対応に当たるNIKKEI-SIRTや、ガバナンスを統括する組織といったチームと連携しながら、プロダクトセキュリティの向上に努めてきた。セキュリティ関連のチームだけでなく、「各プロダクトを開発する開発者の生産性とセキュリティの両輪を回していくため、開発者に寄り添い、伴走するセキュリティチームであることを主眼に置いて活動しています」と、日本経済新聞社　CDIO室　セキュリティエンジニア、飯沼翼氏は語る。

かつて、日本経済新聞社が提供するプロダクトの多くは、パートナー企業に外注して作成されていた。しかし、軽微なものも含め、改修のたびに見積もりを取り、やり取りを重ねながら進めていては、ビジネスが求めるスピードに追いつかず、顧客体験もなかなか高まらない。クラウド環境が充実し、利用しやすくなったこともあり、徐々に内製の比率を高め、アジャイル開発を取り入れてきた。

こうして開発スピードが高まった一方で、プロダクトセキュリティがリリースのペースに追いつけないことが課題となっていた。ガバナンス組織では、新規リリースや大規模改修時のスポット診断に加え、「月に1回、定期的に脆弱性診断を受けること」というルールを定めてセキュリティを担保していたが、それだけでは開発のスピードに追いつけないという懸念が高まっていったという。

「内製開発に舵を切った結果、開発速度も明らかに高速化し、2週間に1回、あるいはそれ以上のペースでサービスをリリースし、更新しているプロダクトもあります。月に1回の診断ではその間のチェックが抜け落ちてしまうため、リリース速度に合わせ、もっと早いペースで診断を行いたいと考え、2021年にAeyeScanが導入され、運用しています」（同CDIO室　部次長　セキュリティエンジニア、藤田尚宏氏）

ソリューションの選定

CDIO室では当時より、開発の初期段階からセキュリティを意識し、全プロセスでセキュリティを高めていく「シフトレフト」「DevSecOps」というアプローチを推進していた。リリース後や直前の診断によって脆弱性を発見し、後から修正する場合に比べ、コストを削減しながらセキュリティ品質を高められるからだ。

シフトレフトの実現に向け、プロダクト企画時のセキュリティレビューを任意で実施するほか、ソースコードを診断するSAST、そしてAeyeScanのようなDASTなど、複数のセキュリティツールを組み合わせ、開発の各プロセスでチェックを行う仕組みを整備している。この中でAeyeScanは、「最も幅広く効果を及ぼすことができ、OWASP ASVSという標準に基づいて網羅的に検証ができる点にメリットがあると判断しています」と藤田氏は評価する。

事業ドメインごとにプロダクトの性質も、基盤となる技術もさまざまに異なるが、AeyeScanはライセンス単位で導入できるため、比較的低予算で、全プロダクトに一斉に適用できる。

「ランタイムに対して動的に診断を行うため、言語やフレームワークに依存せず検査が行えること、また、『ここはスキャンしたくない』といった除外範囲を細かく設定でき、実サービスに影響を与えず診断できることも便利だと感じています」（飯沼氏）

最近浮上してきたAIエージェントによる脆弱性診断では、実行のたびに結果が異なる不安定さがあるが、AeyeScanでは安定した診断結果が得られ、ベースラインとしても活用できると感じている。

導入効果

日本経済新聞社では2021年の導入以来、5年以上にわたって継続的にAeyeScanを活用し、並行してセキュリティ文化の醸成に取り組んできた。

シフトレフトの取り組みが始まる前は、開発チームがそれぞれ自力でベンダーを見つけ、個別に診断を依頼していた。見積もりを取り、開発状況を踏まえながら日程を調整して診断を行い、ようやくレポートを受け取るという具合に、1回の診断を実施するだけで多くの日数がかかる上、修正後の再診断にも同様の手間と時間、コストを要していた。

それが、シフトレフトの枠組みの中で、AeyeScanをはじめとする診断ツールを活用できる体制を整えたことで、「『Webアプリケーションのセキュリティが心配ならば、AeyeScanがありますからいつでも使えますよ』と言えるようになったのは大きな変化です」と藤田氏は振り返る。

AeyeScanを導入した開発チームは月に1回以上、定期的に診断を行って深刻な問題を修正するとともに、レポートをセキュリティチームと共有している。もしセキュリティチーム側から見て気になる事項が見つかれば、Slackを通して呼び掛け、相談に乗りながら対応を進める形だ。一律に「すべての問題を必ず修正すべき」と押しつけるのではなく、開発プロジェクトの状況を踏まえ、時には代替手段をともに模索しながら、バランスを取りつつ協力して進めている。

かつての診断では、レポートを渡しても「これはどのような意味で、どこを直せばいいのか」がわかりづらく、やり取りに時間を要する場合もあった。

「AeyeScanでは、開発者が自分たちで脆弱性を見つけ、自分たちで直すことができます。レポートの説明も丁寧なので、いい意味でやり取りをショートカットできることがメリットだと思います」（藤田氏）

セキュリティチームはAeyeScanの導入と並行して、開発チーム向けに具体的な診断手順やアラートが出た時の対処法などをまとめ、しっかり運用を回せる体制作りを支援してきた。

「『ツールがあるから使ってください』ではうまくいきませんが、『セキュリティを高めてください』と呼び掛けるだけでも、何をどうすればいいかわかりません。両方をセットで進めることが大事だと思います」（藤田氏）

エーアイセキュリティラボの協力のもと、開発チーム向けにデモサイトへの診断を実施して使い方を学ぶ勉強会も実施した。「『これなら使える』といって使い始めてくれたチームもありました。開発者にうまくセキュリティを根付かせるための取り組みがあって助かります」と藤田氏は述べている。

さらに、社内ミートアップや、メンバーが集まって作業に取り組む「もくもく会」を開催し、開発者との間に顔の見える関係を作り上げながら、セキュリティ文化の醸成に努めてきた。こうした5年間の試行錯誤を経て、脆弱性の数そのものよりも、プロセスの改善に手応えを感じている。

「どのようにリスクを分析・把握し、それに対してどういった手を打ったのかというプロセスこそが重要であると思っています。中にはセキュリティに対する成熟度を高め、自律的に動けるチームも出てきており、七合目くらいまで来た感じがします」（藤田氏）

こうして文化と信頼が醸成できたチームとは細かく相談し合える関係性が築けており、新たな課題として浮上してきたソフトウェアサプライチェーンへの対策についても、建設的な呼びかけができているという。

今後の展望

5年間にわたる取り組みを通じて、AeyeScanをより広い適用範囲で活用しやすくするための運用面の整理も進みつつある。定期診断とスポット診断に加えたオプション的な位置づけだったAeyeScanだが、定期診断の代わりとしても使えることになり、運用の柔軟性が高まっている。

ツールとプロセス、文化を並行して整備してきたセキュリティチームでは、AeyeScanの活用をさらに深めていく余地があると捉えている。今後も、すでに取り組みが進んでいるチームでの知見を生かしながら、より多くの開発チームが無理なくセキュリティ確認を日常的な開発プロセスに組み込めるよう、支援の幅を広げていく方針だ。

ただ、セキュリティチームの独りよがりで進めるつもりはない。これまで通り開発チームとコミュニケーションを取りながら、セキュリティ文化の啓発活動や運用体制の整備とともに活用を進めていく。

「セキュリティ施策のうち、セキュリティチームだけで推進できるものはほんのわずかであり、開発チームの協力が欠かせません。開発者の方々と常にコミュニケーションを取りながら、一緒に進めていくことを大切にしていきます」（飯沼氏）

これからもAeyeScanを生かしながらさらなる高みを目指していく。