一目でわかる
- 6つの別々のアプリケーションセキュリティツールを1つの統合プラットフォームに置き換えた
- セキュリティノイズ 低減ノイズ 脆弱性 改善
- セキュリティチームとエンジニアリングチーム間の連携強化
- 価値実現までの時間を短縮し、修復を迅速に実施
- 経営陣の可視化のために明確なセキュリティダッシュボードを提供した
- セキュリティチームが妨害者ではなくガードレールとして機能できるようにした
課題
アマンダ・ハートルは、Proveをはじめとする企業向けに仮想最高情報セキュリティ責任者（vCISO）として活動し、組織が現代的なセキュリティプログラムを設計・運用する支援を行っている。様々な環境において、彼女は類似したパターンに遭遇した。アプリケーションセキュリティスタックは、時間の経過とともに有機的に拡大していたのである。
各ツールは特定の課題を解決するために導入された。個別に見れば理にかなっていた。しかし、それらを組み合わせた結果、断片化され管理が困難なエコシステムが生み出された。
ある環境では、アプリケーションセキュリティ対策（AppSec）だけで6種類の異なるツールを導入していました。それぞれが独自のアラート、ダッシュボード、ワークフローを生成していました。
時が経つにつれ、セキュリティスタックはアマンダが「フランケンシュタイン」システムと表現する状態に近づいていった。複数のツールを継ぎ接ぎで組み合わせたもので、それらは単一のプラットフォームとして動作するよう設計されたことは一度もなかった。
この断片化は、いくつかの運用上の課題を生み出した：
- 複数のツールにまたがる重複したアラート
- アプリケーションセキュリティリスクに対する単一の見解は存在しない
- 脆弱性の優先順位付けの難しさ
- セキュリティチームと開発者間の摩擦
多くの非連携ツールに依存するセキュリティプログラムは、チームの迅速化を阻害し、かえって作業を遅延させる結果に陥りがちだ。アマンダにとって、この結果は彼女がvCISOとして業務に臨む理念に真っ向から反するものである。
セキュリティは開発者を可能にするべきである
アマンダは、セキュリティはエンジニアリングチームを遅らせるのではなく、支援すべきだと考えている。
セキュリティはエンジニアリングチームを妨げるべきではない。彼らがより速く動くのを助けるガードレールを提供すべきだ。
しかし、そのためには開発者が実際に使いたいと思うツールが必要です。セキュリティツールが過剰なアラートを生成したり、複数のシステム間の切り替えを必要としたりすると、開発者は何が実際に修正すべき問題なのかを理解するのが難しくなります。
目標は、セキュリティスタックを簡素化すると同時に、セキュリティチームとエンジニアリングチームの両方に、実際のリスクに対するより明確な可視性を提供することでした。
ソリューション
複数の選択肢を検討した結果、Proveはアプリケーションセキュリティプログラムの基盤としてAikido を選択した。
Aikido 複数のセキュリティ機能を単一プラットフォームに統合し、開発者のワークフローに直接組み込みます。複数のツール間でアラートを関連付ける代わりに、チームは脆弱性、優先順位付けの洞察、修復ガイダンスを一箇所で確認できます。
この転換により、セキュリティチームは実際に重要な脆弱性に集中できるようになりました。
なぜプロブが選んだのか Aikidoを選んだのか、そしてその影響
評価プロセスにおいて、アマンダはセキュリティスタックを簡素化しつつエンジニアリングワークフローに円滑に統合できるツールを優先した。
いくつかの要因が際立っていた：
- 複数のアプリケーションセキュリティツールを単一プラットフォームに統合
- 脆弱性 明確化し、ノイズの多いアラートを排除する
- 開発者のワークフローへのシームレスな統合
- 迅速な導入と短期間での価値実現
6つの別々のツールを置き換えたことで、セキュリティスタックが簡素化され、運用上のオーバーヘッドが削減されました。また、脆弱性がコードベースに直接紐付けられたため、開発者は問題をより迅速に解決できるようになりました。
アマンダはよくこの経験をシンプルな例えで説明します：
もし Aikido が車なら、それはポルシェだろう。」
強力で効率的、そして不必要な複雑さなく動作するよう設計されています。
最終的な評価
6つの別々のツールを単一のプラットフォームに統合することで、 Aikido は、アプリケーションセキュリティプログラムの簡素化と脆弱性 の改善を同時に実現しました。
セキュリティチームは、断片化されたスタックを管理する代わりに、アプリケーションのリスクをより明確に把握できるようになり、開発を遅らせることなく、最も重要なものを保護することに集中できます。
アマンダが要約すると：
「このような価値実現までの時間短縮と迅速な修復を実現するツールを見つけたとき、セキュリティチームの運用方法が変わります。」
その結果、アプリケーションセキュリティプログラムを運用するよりシンプルな方法が実現します：ツールの寄せ集めではなく、単一のプラットフォームです。
