一目でわかる
- Deelの最大規模のモノリポジトリにおけるセキュリティチェックの所要時間を、14～15時間から約10分に短縮した
- パイロット段階において、以前のベンダーと比較して、重大な誤検知を99％、重大な問題を92％削減しました。
- 1回の研修で400人の開発者を研修に迎え入れた
- 既存のリポジトリの権限に基づいて、開発者にスコープ限定のアクセス権を付与します
- 開発チームに問題が伝わる前に、悪用可能な脆弱性を優先的に対処する
- マネージド・デプロイメントによる統合開発環境の導入拡大
- 「vibe coding」の普及に伴い、エンジニアリングの枠を超えたデバイス保護が拡大
セキュリティ上の問題点を修正策へとつなげる
Deelは、150カ国以上、4万社を超える企業の給与計算および人事業務を運営しています。1,400名以上の開発者が、コード行数が500万行を超えるモノリポジトリへの変更を含め、毎月2万件以上のプルリクエストをマージしています。
カディル・ブラク・マヴゼルがDeelにプラットフォームセキュリティチームリーダーとして加わった当時、同社ではすでにアプリケーションセキュリティのチェック体制が整っていた。プルリクエストのチェックが行われ、コードベースは毎晩レビューされ、コンプライアンス要件も満たされていた。
しかし、その調査結果に基づいて行動を起こすのは難しかった。
開発者たちはこの結果に対してあまり確信を持てず、Deelの最大規模のリポジトリのチェックには、1営業日の大半を要する可能性がありました。Deelは Aikido Securityを採用し、チームへのフィードバックの迅速化、優先順位の明確化、そして開発者が直接利用できるワークフローの実現を図った。
「あれは単なるコンプライアンス上のチェック項目に過ぎなかった。すべての項目を満たしてはいたが、実際に活用できるものではなかった。」
課題
セキュリティは、もはや背景ノイズと化していた
Deelの以前のアプリケーションセキュリティ製品は、期待されるチェック項目を網羅していたものの、検出結果は信頼性に欠けることが多く、実用性に乏しかった。
プルリクエストは自動的にレビューされ、コードベースは毎晩チェックされていた。しかし、開発者たちは、その結果が修正すべき問題点を反映しているかどうかについて、依然として確信が持てなかった。
「その結果は、アプリケーションセキュリティツールに期待されるほど信頼性の高いものではありませんでした。私たちには、チームが自信を持って対応できるような調査結果が必要だったのです。」
その自信のなさが、セキュリティチームの負担を増やし、開発者たちの緊急感を薄れさせてしまった。
追いつけなかった小切手
カディールがDeelのエンジニアリング組織全体の活動状況を精査した際、問題の規模が明らかになった。
Deelの最大規模のモノリポジトリの中には、500万行以上のコードを含むものもあります。以前のベンダーでは、変更のたびに完全なチェックを行っていたため、1件のプルリクエストのレビューに14～15時間かかることもありました。
変更の規模が大きい場合、チェック作業に勤務時間の大部分を費やすことになりかねません。
「大規模なモノリポジトリでのチェックに非常に時間がかかり、それが開発者の作業を遅らせていました。私たちのリリースペースに追いつけるような仕組みが必要でした。」
開発者による採用率は依然として低いままであった
以前のベンダーも統合開発環境（IDE）の拡張機能を提供していましたが、それを利用していた開発者は全体のわずか2～3％程度でした。
そのため、セキュリティに関するフィードバックのほとんどは、コードがすでにバージョン管理システムに反映された後の、開発プロセスの後半になってから寄せられることが多かった。
Deelが選ばれた理由 Aikido
Deelは、選定に先立ち複数のベンダーを評価しました Aikidoを採用しました。特に際立っていたのは、優先順位の明確化、ワークフローに組み込まれたAIを活用した分析、そして迅速に動く製品チームへの直接的なアクセスという3つの要素でした。
悪用可能な発見事項の優先順位を明確に設定する
Aikido は、アプリケーションの文脈において脆弱性を評価し、どの発見事項が実際に悪用可能であるかを明らかにします。
カディールはこれを「ファンネル」と表現している。膨大な数の脆弱性が、開発者が対処すべきより少数のグループへと絞り込まれるのだ。
例として、彼は、1,000件の重大な脆弱性のうち、悪用可能な問題はおよそ250件含まれている可能性があるという状況を説明している。
「脆弱性には、単なる脆弱性と、悪用可能な脆弱性があります。 Aikido は、そのことを非常に明確に示しています。開発者に何を伝えるべきかは分かっていますし、これは検証済みであるため、修正が必要だと伝えることができます。」
これにより、セキュリティチームはエスカレーションした問題に対してより強い確信を持てるようになり、開発者は明確な影響が伴う発見事項に集中できるようになりました。
これは、パイロット期間中に明らかになったことであり、 Aikido は、以前のベンダーと比較して、重大な問題の92％を解決し、重大な誤検知を99％削減しました。
ワークフローに組み込まれたAI
Deelの開発者たちは、すでにAIツールを活用してソフトウェアを開発していました。カディールは、セキュリティチームにも同様の作業効率の向上を享受してもらいたいと考えていました。
AikidoのAIを活用した分析機能により、調査結果の検証が可能となり、問題が開発者に引き継がれるまでの手作業を削減できます。
「AIが標準搭載されている点が気に入っています。単なるオプションや追加機能ではないからです。開発者はすでにAIを活用して開発を進めており、セキュリティチームもそのペースに追いつくためにはAIを活用する必要があります。」
製品チームへの直接の連絡窓口
そのペースは Aikidoの製品開発のスピードも、評価の中で際立っていました。
カディールは、ある機能の提供を依頼したところ、翌日には準備が整っていたことを振り返っている。ディールもまた、直接連絡を取り合っている。 Aikidoの経営陣と直接連絡を取り合っている。
「当社には、CEOやCTOでさえも利用できるコミュニケーションチャネルがあり、 Aikido のCEOやCTOでさえ、約3分以内に質問に回答してくれるコミュニケーションチャネルがあります。あのようなレベルのサポートと、顧客に対するあのようなほどのこだわりを見られるのは、本当に素晴らしいことです。」
開発者に直接アクセス権を与える
Deelが作成 Aikido をデフォルトで開発者が利用できるようにしました。
Deelのバージョン管理システムにアクセス権を持つユーザーは、ログインして自分のリポジトリに関連する調査結果を閲覧できます。各ユーザーが閲覧できる内容は、既存の権限設定によって決まります。
「ユーザーはアプリケーションにアクセスしてログインすれば、自分で結果を確認できます。すでにそのユーザーに合わせて表示範囲が設定されているため、必要な情報のみが表示されます。」
Deelは、以下の研修セッションを通じて、この展開を支援しました。 Aikido チームと共同で実施したトレーニングセッションを通じて、この展開を支援しました。300人から400人の開発者が参加しました。
プルリクエストのチェック時間を15時間から10分に短縮
Deelが統合されました Aikido をすべてのバージョン管理システムに統合し、現在はすべてのプルリクエストをチェックしています。
大規模な変更の場合、この処理には約10分かかります。以前のベンダーでは、同じ大規模なモノリポジトリに対して14～15時間かかっていました。
開発者は、コードや状況がまだ記憶に新しいうちに調査結果を受け取ることができます。また、プルリクエストから直接、課題を却下したりフィードバックを提供したりすることも可能です。
「大規模なプルリクエストでも、せいぜい10分程度しかかからず、これはまさに画期的な変化でした。開発者はより迅速にリリースできるようになり、問題点もより早く、より的確に把握できるようになりました。」
「開発者は、発見された問題について、プルリクエスト内で直接無視したりフィードバックを提供したりすることができます。これは、開発者の生産性向上にも、セキュリティチームにとっても非常に有益です。」
開発の早い段階で問題を早期に発見する
Deelが導入されました Aikidoの統合開発環境用拡張機能を、同社のデバイス管理システムを通じて導入しました。
以前の拡張機能は、開発者のわずか2～3％にしか普及していませんでした。管理型デプロイの導入により、採用率が明らかに向上し、この拡張機能はDeelの標準的な開発環境の一部となりました。
開発者は、変更内容がリポジトリやプルリクエストに反映される前に、コードを記述しながら脆弱性を確認し、修正することができます。
「脆弱性は、本番環境に到達する前、さらにはバージョン管理システムに反映される前に修正することができます。導入が急増しています。」
AIを活用した労働力の保護
ディールもまた、 Aikido デバイス保護機能の初期導入者の1人でした。
同社は、サプライチェーン攻撃が、経験年数の如何を問わずあらゆるレベルの開発者に影響を及ぼしていることを確認していた。パッケージが侵害されると、ユーザーがどれほど注意深くても、あるいはベテランであっても、デバイスが危険にさらされる可能性がある。
「どんなに注意深くても、結局は意味がありません。パッケージにマルウェアが混入していれば、その影響を受けてしまうからです。開発者のマシンを保護する必要があります。まずはそこから始めるべきだと思います。」
Deelは、この保護措置をエンジニアリング分野以外にも拡大しています。
AIコーディングアシスタントのおかげで、他の役割を担う人々でも、スクリプトや社内ツール、アプリケーションを容易に構築できるようになっています。こうしたユーザーは、依存関係 評価依存関係 生成されたコードがセキュリティに及ぼす影響を認識依存関係 経験があまりない場合があります。
「AIコーディングアシスタントの台頭により、今では誰もが開発者となっています。開発者ではない人々がアイデアを思いつくと、それを実現するためにあらゆる手段を講じます。私は、そうした人たちは開発者本人たちよりもさらに脆弱な立場にあると考えています。」
「Device Protection」により、Deelはこの幅広いユーザー層を悪意のあるオープンソースパッケージから保護することが可能になります。
コードのセキュリティに関するより明確な見解
Aikido これにより、Deelはより重要な課題を特定し、コードベース全体のセキュリティについてより明確な理解を深めることができた。
開発者は、具体的な対応策として活用できる調査結果を受け取ることができ、一方でセキュリティチームは、開発者に解決を依頼する問題について、より確信を持てるようになります。
「私たちがそれを見つけるまでは Aikidoに出会うまでは、自分たちに何が欠けていたのかがはるかに明確になりました。さらに多くの問題、より重大な問題が見つかり始め、コードのセキュリティという観点から、自分たちの現状を理解するようになったのです。」
カディールは、開発者たちの反応にも変化が見られた。
「今では、はるかに実践的なものになりました。開発者たちはより満足しており、協力的な姿勢も強まっています。彼らは問題を、解決につながるような形で理解できるようになったのです。」
Deelの今後の展開
Deelは現在、 Aikido を、静的アプリケーションセキュリティテスト、ソフトウェア構成分析、プルリクエストのチェック、統合開発環境（IDE）のセキュリティ、およびデバイス保護に活用しています。また、チームはDeel独自のセキュアコーディングガイドラインを Aikido でのコードレビューの指針として活用しています。
また、同チームは、新たに発見された脆弱性に対してDeelのコードベースを継続的に検証できる自律型コード分析についても評価を進めている。
「私たちは、時間の経過とともに現れる脆弱性に対して、コードベースを継続的に見直していきたいと考えています。このシステムが自律的かつ能動的であることは大きな利点です。というのも、私たちにはそれを継続的に行うための時間やリソースが必ずしも確保できないからです。」
最終的な評価
カディルは、 Aikido との関わりが、販売プロセスを経てもなお、率直で柔軟なものであったと語っている。
ディールは上層部と話し合うことができる Aikido の指導者と対話し、プラットフォームを構築しているメンバーと製品に関する意思決定について議論し、自社のセキュリティプログラムに関連する機能の構築に貢献できる。
「あのような運営をしている会社は見たことがない Aikidoのように運営されている会社は見たことがありません。Slackで上層部の幹部と直接話すことができ、彼らは質問に非常に丁寧に答えてくれます。製品の機能について非常に有意義な議論が行われ、自分たちも製品作りに貢献できるのです。」
チームの一部のメンバーは当初、Deelが顧客になった後、その程度の注目が薄れてしまうのではないかと懸念していた。しかしカディール氏によると、その関係はさらに強固なものになったという。
「中には、これが単なる販売戦略で、契約を結んだ後は無視されるのではないかと心配する人もいました。しかし、そんなことは一度もありませんでした。むしろ、対応のスピードは向上しました。」
「これは、私たちのツール群にとって素晴らしい追加要素です。開発者の満足度が向上し、チームワークもより円滑になっています。」
