ファインディ、脆弱性管理を自動化しDevSecOps体制を強化

　ファインディは、Visionalグループのアシュアードが提供する脆弱性管理クラウド「yamory」を採用した。9月8日、Visionalが発表した。ソフトウェアサプライチェーンの安全性を高め、開発スピードを維持しながら安全なサービス運用を実現するDevSecOps体制の強化につなげる。

　ファインディは、エンジニア組織づくりのプラットフォーム「Findy」をはじめ、エンジニア組織の生産性向上を支援する「Findy Team+」などのサービスを展開している。近年は、オープンソースソフトウェア（OSS）の脆弱性を悪用した攻撃やサプライチェーン攻撃が増加しており、同社においても、利用するOSSライブラリやクラウドインフラのセキュリティ確保が急務となっていた。

　従来は、依存ライブラリの更新状況の確認や脆弱性情報の収集を、個別のツールや手作業で行っていた。このため、確認作業の負荷が大きく、リスクを網羅的に把握することが難しかったという。また、事業拡大に伴って開発チームが急速に拡大する中、開発スピードを損なうことなく、セキュリティ基準を組織全体に定着させる仕組みづくりが求められていた。

　複数のソリューションを比較検討した結果、アプリケーション、ホスト、コンテナ、クラウドインフラまでを一元管理できる網羅性や、検出した脆弱性の危険度を自動判定して対応の優先度を付ける機能を評価し、yamoryの採用を決めた。GitHubと円滑に連携でき、エンジニアの開発フローに組み込みやすい点も決め手になった。

　yamoryの導入により、リポジトリにコミットされたコードや利用ライブラリに関する脆弱性を自動で検知・可視化できる環境を整備した。日々の開発プロセスで自動的にスキャンが実行され、危険度の高い脆弱性が優先的に通知されるため、セキュリティ対応にかかる工数を削減できた。また、ライブラリのアップデートの要否をダッシュボードで一元的に把握できるようになり、放置されがちな潜在的リスクの早期解消にもつながっている。

　今後は、yamoryを活用したセキュリティチェックをCI/CDパイプラインにさらに深く統合し、エンジニア一人ひとりが自然にセキュリティを意識して開発に取り組める組織文化を強化していく。高品質で安全なサービス提供を通じ、顧客企業のエンジニア組織づくりを支援していく。

ニュースリリース