一目でわかる
- 広範かつ多様な技術とチームから成る環境全体のセキュリティ状況を、一つの画面に集約した
- 段階的に Aikido コード製品を皮切りに、段階的に展開
- KEYESの Aikido KEYES独自の主権に関する優先事項に合致しており、データはベルギー法に基づきEU域内に保管されています
- 調査結果を手作業で確認する手間を省き、他の優先事項に充てる時間を確保する
- 要望のあった機能が、プルリクエスト、修正、そしてデプロイまで、わずか数日で完了したのを見た
- 開発者たちが、 Aikido ワークフローのより深い部分に組み込まれるよう要望する様子を目にした
大規模な資産全体におけるセキュリティの一元管理
KEYES（旧NRBグループ）は、ベルギー最大級のICTグループの一つです。1987年に設立され、ヘルスタルに本社を置く同社は、約3,700人の従業員を擁し、ベルギー国内で自社データセンターを運営するとともに、幅広いチームと技術を活用して主権的なサービスを提供しています。こうした規模が、同社のセキュリティ業務の基盤となっており、成熟したセキュリティ組織が多様な環境を管理しています。
KEYESのセキュリティエンジニアであるファブリス・セルヴェは、SOCの運用、脆弱性 管理、インシデント対応を担当するセキュリティ・オペレーションチームに所属しています。彼のチームは、アプリケーションセキュリティを開発ライフサイクルのより早い段階に組み込む取り組みを進めており、最初に解決すべき課題は、幅広い技術やチームにわたる可視性の確保でした。
「私たちは、さまざまなチームにおいて、多種多様な技術やテックスタックに対応しています。 Aikido これにより、各チーム間の隔たりを埋め、セキュリティに関する調査結果を一元化し、全体的なセキュリティ態勢を強化することができます。」
課題
多くの技術にまたがる複雑性
KEYESは、多くのチームにわたる多種多様な技術スタックをサポートしており、自社データセンターを運用し、その施設内にシステムを配置しています。すでに成熟したセキュリティ運用を行っているセキュリティ・運用チームにとって、難しいのは決して体制そのものではありませんでした。難しいのは、スタックごとやチームごとに個別に追跡するのではなく、これらすべての環境から得られた調査結果を1か所に集約することでした。
あらゆる環境を横断する単一の視点
調査結果は、設計上、多くの環境に分散して存在しており、各チームは自チームの環境に近接していました。KEYES社もこれらを1か所に集約することを望んでいました。そうすれば、セキュリティチームはチームごとに個別に確認するのではなく、すべての環境を一目で把握できるようになるからです。
KEYESが選んだ理由 Aikido
ノイズ を削減し、トリアージを迅速化
チームが代替案を比較した際、複数のツールをまたがって作業する場合のコストは、調査結果を層ごとに手作業で確認しなければならないという運用上の負担でした。 Aikido チームは、重要度の高い順に調査結果をグループ分けし、プラットフォーム内で優先順位を付けました。これにより、分析に費やす時間が短縮され、他の業務に充てる時間が確保されました。
主権――KEYESの優先課題
主権はKEYESにとって戦略上の優先事項です。独自のデータセンターと主権型サービスを擁するベルギーの企業として、同社は顧客から「私のデータはどうなるのか」「分析結果はどのように扱われるのか」「アプリケーションはどこに配置されているのか」といった質問をますます頻繁に受けます。 Aikido こうした立場に照らし合わせると、データがEU域内にあり、ベルギー法に基づいて運営されているベルギー企業であることは、プラットフォームの適合性に加え、さらなるメリットとなりました。ファブリス氏は、データをオンプレミスで管理するという方向性へとさらに踏み込む余地があると指摘しており、チームは今後もその可能性を探り続ける予定です。
「最近ますますよく耳にする質問の一つに、『自分のデータはどうなるのか』『アプリケーションはどこに配置されているのか』というものがあります。 Aikido 当社はベルギーの企業であり、データはEU内に保管され、ベルギーの法律に基づいて運営されているため、この優先事項に合致しています。」
拡張性を考慮して構築されたコードから始める
KEYESは、一度に大規模な展開を行うのではなく、 Aikido 、システム規模の大きさを考慮して、1つのモジュールずつ段階的に導入するという慎重な選択を行っています。チームはまずコード関連の製品から着手し、導入範囲を広げる前に、開発者の手に届けることを優先しました。今後の計画はすでに明確です。展開が進むにつれ、次はクラウドと攻撃スキャンが予定されており、インフラチームは Aikido を活用していくことが期待されています。
「私たちは、 Aikido 開発ライフサイクルに統合する旅を始めていますが、クラウドや攻撃スキャンについても、その必要性をすでに痛感しています。」
さらなる改善を求めた開発者たち
最初の導入時から、開発者からの反響は好調でした。セキュリティ部門は、ツールをチームに押し付けるのではなく、開発者たちがそのメリットを自ら理解し、 Aikido 作業プロセスにさらに組み込むよう要望が出るのを待った。
「この機能を導入した際 Aikido、これまでにないほど好評を博しました。開発者たちはその利点を自ら理解し、自分たちのワークフローにさらに組み込んでほしいと要望してきました。」
数日でリリースされた修正
このパートナーシップは、統合の過程でその真価を発揮しました。KEYESは、GitOpsを使用して AikidoGitOpsを使用してブローカーを展開するために欠けていた機能が必要でした。これにより、チームは Aikido プライベートリポジトリに対して実行できるようにする必要がありました。ファブリスがこの問題を提起すると、数日以内にプルリクエスト、修正、そしてデプロイが行われました。この短いフィードバックループが、チームが Aikido 、個々の機能そのものと同じくらい大きな影響を与えたのです。
「GitOps を使ってブローカーをデプロイする機能が不足していました。私が連絡したところ、数日以内にプルリクエストが提出され、修正が行われ、デプロイまで完了しました。フィードバックループが非常に短いのです。これは Aikido 耳を傾け、即座に行動を起こしていることがよくわかります。」
KEYESの今後の展開
KEYESでは現在、 Aikido コードスキャンに利用しています。展開が進むにつれ、クラウドスキャンと攻撃スキャンが次に導入されるモジュールとして計画されています。AIペネトレーションテストについては、KEYESがすでに自社顧客に提供しているペネトレーションテストサービスに併せて、追加ツールとして導入が検討されています。これは、個別に実行するのではなく、開発ライフサイクルに組み込み、より自動化された形で実施されることを想定しています。
最終的な評価
ファブリスは、この関係が販売プロセスをはるかに超えて良好に維持されていたと分析している。
「契約が締結されても、話し合いが終わるわけではありません。提携に踏み切る前から支援を受けていました Aikido、その支援は今も継続しており、計画や統合の段階においても引き続き受けられています。」
