JAPANグループの一員である株式会社カービューは、テクノロジーを活かして、クルマを持つこと・使うことを「もっと身近に、もっと楽しく」変えて行く、というミッションのもと、業界No.1のトラフィックを誇る自動車・バイクの総合情報サイト「carview!」や100万人以上が利用する日本最大級のクルマSNSサイト「みんカラ」、クルマのパーツ交換/整備スキル売買のスキルシェアリングアプリ「pitte」など、自動車やバイクに関心がある人なら一度は使ったことがあるサービスを数多く提供している。3名に話をうかがった。率いている開発本部のミッションはカービューのサービスをより早く安全にリリースすることです。JAPANグループに入ってから、開発エンジニアのセキュリティ意識が以前より高まっていて、セキュリティ勉強会も定期的に実施しています。多数の開発エンジニアが所属しており、なおかつ新卒の方が毎年入社する環境の中では、どうしてもエンジニアごとの意識やスキルに偏りが出てくることがあります。社内にはエンジニアが利用する共通のテスト仕様書があり、その中にはセキュリティ関係のチェック項目も当然整備されているのですが、それらの項目への対応方法にバラつきが出ることがあります。した意識やスキルの差によるセキュリティ対策のバラつきを無くすことが必要だと考えていました。2017年から開発本部内のQAチームでVAddyを利用していますが、QAチームで実施した検査結果を開発チームに共有し、それを見ながら修正を行うことでエンジニア間のスキルや意識のバラつきを是正することができるようになっています。弊社の全てのサービスの全ページの診断を外部に依頼するのは予算的に難しいのですが、診断会社に依頼できない機能をVAddyでカバーできるようになっているので、セキュリティ対策のカバレッジを上げつつ今までよりコストは削減できていると思います。基本的な項目は事前にVAddyでチェックしているので、診断会社からの指摘も減りました。最終的にはVAddyをビルドパイプライン(CI/CD)に組み込むことがゴールですが、まだ試行錯誤の段階です。SuiteとVAddyを併用して使っています。弊社ではツールでの診断をQAチームで実施することが大前提でしたので、VAddyに関しては開発エンジニアでなくても使えるという点が最大のポイントでした。Suiteだと「このPOSTリクエストは何をしているのか?」といったアプリケーションの内部の動きを把握していないと使えないことがあるので、QAチームの全員が使いこなせるわけではありません。開発経験や診断経験が無いと使いこなすのは難しい印象です。その点、VAddyは細かい設定も不要でブラウザ操作だけで基本的な検査は完結できます。VAddyを社内展開する際にもVAddyの操作マニュアルを整備したり、社内トレーニングを実施する必要もありませんでした。VAddyはクラウド型ツールでありながら、クローズドな環境(イントラネット上の環境)にも検査を実行できることもポイントでした。弊社の開発環境はイントラネット上にあるので、VAddyのプライベートネット機能を利用しています。プライベートネット機能はWebブラウザ以外の操作が必要なので、エンジニア以外のメンバーに操作方法を伝えることは苦労しました。プライベートネット機能の設定についてもGUIアプリとかがあると良いかもしれませんね。VAddyの導入を検討していた2017年時点では、弊社のWebアプリケーションで利用していたセッション管理の仕組みにはVAddyが対応してなかったのですが、サポートにその旨を伝えたところ、VAddy側のアップデートで対応してもらえたのも導入の決め手です。QAチーム真鍋智一氏VAddyのアカウントは25人ほどが保有しています。いずれは開発チームで単体テスト時にVAddyを回せるようにしたいと思っていますが、現時点ではサービスやソフトウェアの品質を担保する責任者であるQAチームがVAddyの実行を含めた脆弱性対応を行っています。Jenkinsを使って定期的にVAddyで検査を実行し、検査結果はチーム機能を使って開発チームへ共有しています。弊社で提供しているWebアプリケーションは画面ごとのパラメータ数が非常に多いことが特徴の一つです。中古車の検索機能だけでもメーカーや車種、年式、タイプなどの検索パラメータが大量にあります。欲張って一つのクロールにたくさんの画面を入れてしまうと、スキャン上限時間に引っかかってしまうので、漏れなく重複なくクロールを分割して作成するところに工夫しています。VAddyは使いやすいツールではありますが、検査対象のWebアプリケーションのパラメータが変更になった場合でも柔軟にクロールを編集できる機能があると良いですね。現状ではクロールを作成し直す必要がありますので。クロールについてもう一つ言うと、複数のクロールデータをまとめて実行する機能が欲しいなと思います。クロールデータは機能ごとに作成していますが、ある機能がアップデートされた場合、その機能だけを検査すれば良い場合と、それに関連しそうな複数の機能(クロールデータ)を検査したい場合があります。Jenkinsを使えば複数のクロールを順番に実行することもできますが、JenkinsなどのCIツールを使っている会社ばかりでは無いと思うので、VAddy管理画面からそれができると喜ばれるのでは無いでしょうか。セキュリティ対策が当たり前な時代になってきた少し前まではWebサイト/Webアプリケーションのセキュリティ対策はエンジニアが担当するものという考え方があったと思いますが、今はそうではありません。サービスに関わる全ての人がセキュリティを意識しないといけない時代になってきました。ビジネスである以上はセキュリティ対策だけをやるわけにはいきませんので、ビジネスの施策とセキュリティ対策のバランスを関係者全員で議論していく必要があります。Webアプリケーションのセキュリティ対策を開発チームが実施している企業も少なく無いと思いますが、私たちは脆弱性もバグの一種という観点から、本来それはソフトウェアの品質を担保するQAチームの役割だと考えています。開発チームでも当然セキュリティを意識したモノづくりを行っていますが、それを開発チームだけに任せること無くQAチームも一緒に対策の立案と実行を行っています。品質保証という言葉の中にセキュリティ対策も組み込まれたのが、VAddyを導入した2年間で起きた変化だと思います。他の導入事例を見るサービスに関わる全ての人がセキュリティを意識する時代に株式会社カービューサービスに関わる全ての人がセキュリティを意識しないといけない時代。ビジネスの施策とセキュリティ対策のバランスを関係者全員で議論していく必要があります。情報セキュリティに対する意識の高まりによって、クラウドサービス利用前に脆弱性診断の有無を確認する企業様が増えています。情報漏えいなどの「絶対にやられてはいけないこと」以外は費用対効果をもっと意識する必要があると思います。属人的な対策からの移行セキュリティ対策で大切なのは「多層防御」の仕組みを作ることGMOペパボ株式会社きちんとした枠組みを作り「何層にもそして継続的に」これが非常に大切だと考えております。比べて一番大きな違いは、診断のカバレッジを上げることができたことです。株式会社ネットフォレストVAddyはあらゆる手続きがWebブラウザで実施できますし、検査自体も圧倒的に速い。Endテストの価値が上がった株式会社ロックオン(EC-CUBE)EtoEテストシナリオをメンテナンスしていけば、通常のWebテストだけでなく脆弱性検査も同時にできるようになります。手動診断との併用オープンソースでも許されない脆弱性、ユーザに安心して利用してもらうためにVAddyを導入NPO法人ベーサー・ファウンデーションOSSでもセキュリティを確保しているというのは強みであると同時に運営側の責務でもあると考えています。属人的な対策からの移行ユーザー企業から求められるセキュリティチェックシートにも自信を持って回答できる株式会社Oneteamリリースの度にセキュリティ調査を人力で実施しなくても自信を持って製品をリリースできるようになったと思います。属人的な対策からの移行VAddyは利用者がやらなくてはいけないことが少ないヴェルク株式会社VAddyはクロールだけきちんとやっておけば良いので、アプリケーション開発者でもカジュアルに使えます。開発のスピードが優先されるスタートアップ企業でも、セキュリティには積極的に投資していくべきだと考えています。おけるセキュリティ要件が厳しくなる昨今では、セキュリティテストの実施が企業の強みになります。属人的な対策からの移行VAddyの特徴VAddyの機能VAddy導入事例VAddy料金プラン初期費用なし、最短1ヶ月から契約が可能プロジェクトの進行に合わせてお好きなタイミングで利用の中断と再開ができます。事前予約制VAddyの導入を検討されている方や、すでにご利用頂いている方を対象に個別相談会を実施しています。東京オフィス・福岡オフィスSkypeでのオンデマンド相談会が必要な方はお問い合わせください。