一目でわかる
- 6つの異なるAppSecツールを1つの統合プラットフォームに置き換えました。
- セキュリティノイズを削減し、脆弱性の優先順位付けを改善しました。
- セキュリティチームとエンジニアリングチーム間のコラボレーションを改善しました。
- より迅速な価値実現と修復を実現しました。
- リーダーシップ層の可視性を高めるための明確なセキュリティダッシュボードを提供しました。
- セキュリティチームがブロッカーではなくガードレールとして機能できるようにしました。
課題
Prove社をはじめとする企業で仮想最高情報セキュリティ責任者（vCISO）として働くアマンダ・ハートリー氏は、組織が最新のセキュリティプログラムを設計・運用するのを支援しています。多くの環境で、彼女は同様のパターンに遭遇しました。アプリケーションセキュリティスタックが時間とともに自然に成長していたのです。
各ツールは特定の課題を解決するために導入されました。個々には理にかなっていましたが、それらが一緒になることで、断片化され管理が困難なエコシステムが形成されました。
「ある環境では、AppSecだけで6つの異なるツールがありました。それぞれが独自の警告、ダッシュボード、ワークフローを生成していました。」
時間の経過とともに、セキュリティスタックはアマンダが“フランケンシュタイン”システムと表現するものに似てきました。それは、単一のプラットフォームとして機能するように設計されていなかった複数のツールからつなぎ合わされたものでした。
この断片化は、いくつかの運用上の課題を生み出しました。
- 複数のツールにわたる重複するアラート
- アプリケーションセキュリティリスクの単一ビューの欠如
- 脆弱性の優先順位付けの困難さ
- セキュリティチームと開発者間の摩擦
多くの分断されたツールに依存するセキュリティプログラムは、チームの迅速な行動を助けるどころか、しばしば速度を低下させてしまいます。アマンダにとって、その結果はvCISOとしての彼女の仕事哲学に真っ向から反するものでした。
セキュリティは開発者を支援すべきです
アマンダは、セキュリティはエンジニアリングチームの作業を妨げるのではなく、支援すべきだと考えています。
「セキュリティはエンジニアリングチームの妨げとなるべきではありません。むしろ、彼らがより迅速に作業を進めるためのガードレールを提供するべきです。」
しかし、そのためには開発者が実際に使いたいと思えるツールが必要です。セキュリティツールが過剰なアラートを生成したり、複数のシステム間での切り替えを要求したりすると、開発者にとって実際に修正すべき内容を理解することが困難になります。
目標は、セキュリティスタックを簡素化しつつ、セキュリティチームとエンジニアリングチームの両方に実際の脅威に対するより明確な可視性を提供することでした。
ソリューション
いくつかの選択肢を評価した結果、Proveはアプリケーションセキュリティプログラムの基盤としてAikido Securityを選定しました。
Aikidoは、複数のセキュリティ機能を単一のプラットフォームに統合し、開発者のワークフローに直接組み込まれます。複数のツール間でアラートを関連付ける代わりに、チームは脆弱性、優先順位付けのインサイト、修復ガイダンスを1か所で確認できるようになりました。
この変化により、セキュリティチームは実際に重要な脆弱性に集中できるようになりました。
ProveがAikidoを選んだ理由とその影響
評価プロセスにおいて、アマンダはセキュリティスタックを簡素化し、エンジニアリングワークフローにスムーズに統合できるツールを優先しました。
いくつかの点が際立っていました。
- 複数のAppSecツールを単一のプラットフォームに統合
- 煩雑なアラートではなく、明確な脆弱性の優先順位付け
- 開発者のワークフローへのシームレスな統合
- 迅速なデプロイと迅速なTime-to-Value
6つの異なるツールを置き換えることで、セキュリティスタックが簡素化され、運用上のオーバーヘッドが削減されました。脆弱性がコードベースに直接関連付けられていたため、開発者は問題をより迅速に解決できるようになりました。
アマンダはしばしばその経験をシンプルな例えで説明します。
「もしAikidoが車だとしたら、それはポルシェでしょう。」
パワフルで効率的、そして不要な複雑さなしに機能するように設計されています。
最終的な評価
6つの異なるツールを単一のプラットフォームに統合することで、AikidoはProveがアプリケーションセキュリティプログラムを簡素化し、脆弱性の優先順位付けを改善するのに貢献しました。
断片化されたスタックを管理する代わりに、セキュリティチームはアプリケーションリスクについてより明確な見解を持つようになり、開発を遅らせることなく最も重要なものを保護することに集中できます。
アマンダは次のように要約しています。
「このようなTime-to-Valueとより迅速な修復を実現するツールを見つけると、セキュリティチームの運用方法が変わります。」
その結果、アプリケーションセキュリティプログラムを運用するよりシンプルな方法、つまり複数のツールを寄せ集めるのではなく、単一のプラットフォームが実現しました。
