Timefoldは人員配置最適化ソフトウェアを開発しています。彼らのオープンコアエンジンであるTimefold Solverは、NP困難な計画問題に取り組みます。それに加えて、従業員のシフトスケジューリング、フィールドサービスルーティング、集荷・配送ルーティングといったユースケース向けの既製のAPIを提供しており、さらに計画パフォーマンスに関するより深い洞察を追加するSaaSプラットフォームも提供しています。
TimefoldがISO対応作業を加速させ、SOC 2への準拠を進める中で、チームはエンジニアの作業を遅らせたり、セキュリティをボトルネックにしたりすることなく、スタック全体にわたる継続的なセキュリティ可視性を求めていました。
ひと目で
- お話を伺った方々：Pieter De Schepper（エンジニアリング担当VP）、Jenne（サイト信頼性・セキュリティエンジニア）
- なぜAikido：継続的セキュリティ監視によるISO対応とSOC 2達成の加速
- Aikido以前：GitHub Dependabot + 厳格なプルリクエストレビュー
ツール：GitHub（リポジトリ）、Vanta（コンプライアンスレポート） - Aikido ：リポジトリ、コンテナ、クラウド設定（Google Cloud）、ドメイン、レポート（ライセンス）、Kubernetesスキャン
課題：セキュリティ可視性がコンプライアンスの速度に追いついていなかった
Timefoldは、セキュリティを常にエンジニアリングの一部として扱ってきました。すでに厳格なPRレビュー、経験豊富な開発者、そして依存関係アラートにはDependabotを導入していました。
しかしコンプライアンス要件が強化されるにつれ、共通の課題に直面しました：可視性の不足です。Dependabotは有用でしたが、運用中の全リソースを常時監視する機能を提供しませんでした。基本的な疑問に迅速に答える明確な手段が必要でした：どの依存関係 どこ依存関係 、どのバージョンがデプロイされているか、新たな脆弱性 実際に注意を要する箇所はどこか。
同時に、セキュリティがゲートとなることは避けなければなりませんでした。Timefoldは、プロセスの負担を増やすことなく、また少数のグループがすべてを手動で監視することに頼ることなく、より良いカバレッジを求めていました。
解決策：スタック全体にわたる継続的なスキャンを1日未満で実現
Aikido 絶妙なタイミングで手を差し伸べた。タイムフォールドは、ISO対応を支援しSOC 2準備を加速させるセキュリティツールを積極的に探していた。
評価から実際のカバレッジへの移行がいかに迅速であったかが際立っていました。Jenne氏によると、セットアップは迅速かつ簡単だったとのことです。
「CIへのスキャン統合は1日もかからずに完了しました。」
Timefoldは主にGitHubで動作し、 Aikido はそのワークフローに自然に適合します。彼らは主要なリポジトリでスキャンを有効化し、プルリクエストチェックをオンにし、カバレッジをコードや依存関係 を超えて環境依存関係 拡大しました。
今日、タイムフォールドは Aikido リポジトリ、コンテナ、Google Cloudプロジェクトの設定リスク、およびGraphQLエンドポイントを含む外部ドメインをスキャンするために活用しています。また、ライセンスレポートを含むレポート機能も利用しており、これは資金調達時のデューデリジェンスにおいて特に有用でした。
結果：ノイズ低減、アップグレードの高速化、カバレッジの明確化
Timefoldにとって最大の改善点は運用面であり、定期的なレビューから継続的なモニタリングへの移行でした。
Dependabotが何かを検出したときにのみ対応するのではなく、スタック全体で何が実行されているかをより明確に把握し、脆弱性の優先順位付けをより一貫した方法で行えるようになりました。これにより、問題が発見された際のパッケージのアップグレード速度と頻度が向上しました。
ノイズ 重要だった。誤検知が減れば、エンジニアは誤検知の選別に時間を浪費せず、真のリスクに集中できる。
ノイズ 重要です。誤検知を減らすことで、エンジニアは重要な作業に集中できます。
Aikido タイムフォールドが主要なエコシステム開示に迅速に対応できたのも、合気道の功績です。その一例がNext.jsの脆弱性でした。タイムフォールドはフロントエンドのみにNext.jsを使用しており、バックエンド認証は依然として有効だったため深刻な影響は受けませんでしたが、それでも迅速に特定・修正すべき問題でした。
コンプライアンス面では、Timefoldは現在SOC 2準拠であり、 Aikidoの継続的カバレッジを、Vantaなどの既存コンプライアンスツールと併用しています。
概要
Timefoldが必要としていたのは、絶えず注意を要するセキュリティプラットフォームではありませんでした。彼らが必要としていたのは、静かにセキュリティを維持し、コンプライアンス作業をサポートし、エンジニアが生産性を維持できるプラットフォームでした。
Pieter氏にとって、それが理想的な結果です。
「Aikido 、私たちは気づかない。それが私の好きなところだ。」
Aikido バックグラウンドで動作し、チームは集中力を維持し、セキュリティはボトルネックになることなく向上します。
