従業員や組織の機密データの取り扱いが製品の中核となるHRテック業界において、Simployerはセキュリティを開発プロセスの柱としている。北欧を拠点とし、1万2000社以上、100万人以上のユーザーにサービスを提供するSimployer社のプラットフォームは、法令順守から従業員エンゲージメントまで、企業の人事業務の効率化を支援する。
イノベーションのペースを維持しつつ、安全性とコンプライアンスを確保するため、Simployerは合気道に目を向けました Aikidoを採用した。
共有責任としての安全保障
Simployer社にとって、セキュリティはチーム運営の核心から始まる。Simployer社のCTOであるPeder Nordvaller氏は、それを簡単に説明する。
「セキュリティは、私たちの業務において大きな役割を果たしています。私たちが扱う個人データは単なるプライベートなものではなく、顧客の事業運営に不可欠なものなのです」。
Simployer社のエンジニアリング部門全体で、セキュリティはサイロ化されていません。代わりに、各チームの日々の開発サイクルに統合されています。インフラからフロントエンド、バックエンドのチームまで、全員がシステムの安全性を維持するためのオーナーシップを共有しています。
シンプロイヤーの技術リーダー、サイードはこう言う：「各チームが自分のスペースを所有している。各チームが自分たちのスペースを所有しています。
しかし、この文化は強固なものだが、それをサポートする適切なツールが必要だった。特に会社の規模が拡大するにつれて。
課題：コントロールを失うことなく急成長
Simployer社が急速に開発規模を拡大するにつれ、同社のチームは、技術革新を遅らせずにセキュリティ体制を強固に保つにはどうすればよいかという課題に直面した。
「私たちは製品開発に多額の投資をしています。「私たちのセキュリティ・アプローチが成長に追いつけるようにする必要がありました」とペダーは説明する。
Simployer社は、SnykからGitLabの組み込みソリューションまで、コードとインフラのスキャンを支援するツールをいくつか試してみた。しかし、ほとんどのプラットフォームは、解決するよりも多くの問題を引き起こしていました：
- 高いノイズ と不明確な優先順位
- 開発者の時間を奪った手動トリアージ
- 不便なUXによる採用率の低さ
サイードは説明する：「ノイズが多く、重要でない問題に時間を費やすことになった。何に集中すべきかがまったく明確ではなかったのだ」
複数の開発チームが並行して仕事をしている企業にとって、このような分断化は持続不可能だった。
なぜSimployerが選んだのか Aikido
チームは、明確さ、スピード、そして既存のワークフローへのシームレスな統合を提供できる解決策を探し始めました。その時、彼らは Aikido。
"最初に気づいたのは、UIがいかに直感的であるかということでした。"
"中に入って、重要な脆弱性を確認し、素早く修正することができます。" と回想する。
Aikido 脆弱性をグループ化し優先順位付け、実行可能な修正策を提供することで、開発者の認知負荷を即座に軽減しました。このツールはSimployerCI/CD と既存ワークフローに直接統合され、導入時の障壁をなくしました。
つのことが際立っていた：
- 賢い優先順位付け："何を見るべきか、何が実際に重要なのかを正確に把握できる"
- 自動修正：「自動で修正できるのなら、そうすればいい。これは画期的なことだ。
サイドは付け加える。「問題解決までのスピードは驚異的です。1分以内に問題を修正したこともあります。 Aikido がプルリクエストを作成し、テストが通過すれば完了です。」
「解決までのスピードは驚異的です。1分以内に問題を修正しました。Aikidoがプルリクエストを作成し、テストがパスすれば完了です。」
セキュリティを開発フローの一部にする
Simployerにとって最大の成果の一つは、 Aikido が開発者体験の一部となったことです。
「セキュリティの扱い方が変わりました。「今では、日常業務における他の仕事と同じように、セキュリティを扱っています」。
既存のツールにセキュリティを組み込み、チームに実践可能な洞察を提供することで、 Aikido は開発者とセキュリティチーム間の行き来をなくすことに貢献しました。これによりコンテキストスイッチが減り、より安全なコードがより速く実現されました。
AikidoSimployerの全技術スタック（アプリケーションコードからIaC、依存関係まで）を網羅するAikidoのカバー範囲により、チームは単一のダッシュボードから自社のセキュリティ態勢を包括的に把握することが可能となった。
展望：自信を持ってスケーリング
合気道と共に Aikidoにより、Simployerは勢いを損なわないセキュリティファーストの開発文化の基盤を築いた。
- 開発者は数日ではなく数分で脆弱性を修正するようになった
- セキュリティは開発ライフサイクルに組み込まれる。
- チームは、コードからクラウドまで、スタック全体を可視化できる。
- 手作業によるトリアージが削減され、多くの場合、修正は自動的に行われる。
「ツールがサポートしてくれれば、正しいことをするのは簡単だ。「そして、それが簡単であれば、開発者は実際にそれを行う。
「ツールがサポートしてくれれば、正しいことをするのは簡単だ。そして、それが簡単であれば、開発者は実際にそれを行う。"
