今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜

Slide 1

Slide 1 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 DevOpsDays Tokyo 2024 株式会社NTTスマイルエナジー迎諒株式会社サーバーワークス松井紀樹

Slide 2

Slide 2 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   Name: 迎諒(Ryo MUKAI) Organization: NTTスマイルエナジー事業開発部 Attribute: ミュージシャン兼インフラエンジニア WHOIS? Name: 松井紀樹(Toshiki Matsui) Organization: 株式会社サーバーワークスカスタマーサクセス部 CS5課課長 Attribute: インフラエンジニア　マネージャー

Slide 3

Slide 3 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   会社概要/株式会社NTTスマイルエナジー社　　名株式会社NTTスマイルエナジー  設　　立 2011年6月1日所在地大阪府大阪市中央区北浜2丁目6-18　淀屋橋スクエア4階代表取締役社長武馬雄一郎資本金 1億円（NTTアノードエナジー、オムロンソーシアルソリューションズ、NTT西日本）従業員数 125名組織    我々は、通信・制御技術を用いて、エネルギーを持続可能でインタラクティブなものへと変革します。そのことによって、世界中の人々が、笑顔で安心して暮らせるより良い社会をつくりあげていきます。企業理念 CORPORATE PHILOSOPHY 取締役会事業企画部事業推進部代表取締役社長監査役事業開発部

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   NSEが抱えていた問題僕の・わたしの最強セキュリティ！！セキュリティ対しては、その時々の最善を尽くす形 → 明確な基準が無いため、対応の善し悪しが分からない　 (とはいえ、ベストプラクティスは分かっているが全部対応するのは無理……)

Slide 11

Slide 11 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   NSEが抱えていた問題僕の・わたしの最強セキュリティ！！目下の不安要素であったため、ここに注力することにセキュリティ対しては、その時々の最善を尽くす形 → 明確な基準が無いため、対応の善し悪しが分からない　 (とはいえ、ベストプラクティスは分かっているが全部対応するのは無理……)

Slide 12

Slide 12 text

Slide 13

Slide 13 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   Best Practice AWSアカウントのガバナンス統一 ▶ AWS Organizations の導入ベストプラクティスは、ウチには合わない話 NSEの現状 ● SWXの請求代行を使っているのである程度初期設定はSWXにお任せ ● アカウントの増減の頻度は、かなり低い ● セキュリティ系の初期設定はCDKを使っているので冪等性は担保している別に運用負荷は下がらないんじゃ？というか、本番環境に導入するのはそもそも怖いこんなカオスな環境に適用して大丈夫？

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ・AWS Organizationsは追加料金なしで導入が可能・有効化だけではワークロードへの影響も無い・Organizationsの機能を使わなければユーザ体験も変わらない・小さく始めて試してみる、が大切 SAさんからの助言

Slide 17

Slide 17 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   Organizationsを小さくはじめる ● AWSアカウントを分離する基準を決める ● OU(Organization Unit)の分離する基準を決める ● SCP(サービスコントロールポリシー)は(まだ)使わない ● IAM Identity Centerは(まだ)使わない →組織・顧客に影響しないチーム内で出来るところから始める

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ・ベストプラクティス OU(Organization Unit)の分離する基準を決める会社によって取りうるAWS組織は無限にある。Best Practiceに従わない部分も許容基準を明確化し、統制を取ることが大切

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ・AWS Security Hub 　客観的な第三者的な視点によるAWS環境のセキュリティを評価　→適切なセキュリティ基準が出来る　全てを準拠するのではなく、NSEで運用可能なルールに限定して管理　→アプリに影響ない部分から小さく始める・Amazon GuardDuty 　悪意のあるアクティビティや異常な動作をモニタリング ● セキュリティ上の問題を検知して通知出来る ● ポチッと有効化するだけ、すぐに始められる各アカウントの情報をセキュリティアカウントへ集約

Slide 27

Slide 27 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ● 「僕の・私の最強のセキュリティ設定」からの脱却 → AWS標準のセキュリティ基準で評価できていることの安心感 ● 重点課題を定量的に認識しやすい ● 少しの変化に全アカウントすぐに対応可能 → Security Hubのルール変更は、更新頻度が割と高い Organizationsを導入してよかったことアカウントA 合格: 168 失敗: 22 スコア: 88% アカウントB 合格: 152 失敗: 38 スコア: 80% アカウントC 合格: 150 失敗: 40 スコア: 78% アカウントD 合格: 182 失敗: 8 スコア: 96% 重点課題！

Slide 28

Slide 28 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ・組織全体への各種設定デプロイが簡単　→Organizations統合により、管理アカウントから一元管理が可能・情報収集の手間が削減され、フィルター・通知内容のカスタマイズ　に注力出来るように　→運用が最適化される・頻繁にOrganizations関連のアップデートがある　→新しい技術楽しい Organizationsを導入してよかったこと

Slide 29

Slide 29 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ● 関連サービスで思ったより費用がかかった ○ AWS Config ○ AWS CloudTrail ○ AWS Security Hub ○ Amazon GuardDuty 特にCloudTrailは2つ目以降の証跡に発生する管理イベントの料金体系が異なる点に注意！既存の設定が不要なら削除しましょう →請求にPaidEventsRecordedのイベントタイプがあれば　複数証跡が発生しています Organizationsを導入してよくなかったこと

Slide 30

Slide 30 text

Slide 31

Slide 31 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ● 共通理解: 我々はチームである ● チームのゴールは「解散」 ● ビジネスライクな言葉禁止！　◯◯様、お世話になっております　承知いたしました etc… ● 失敗は次への学びである　全員が最善を尽くした結果であるマインドセット詳しくはQiitaへ…

Slide 32

Slide 32 text

Slide 33

Slide 33 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ふりかえり ● グラウンドルールを設定 → 常に見える位置に記載 ● ふりかえりは必ず「前向きな場」 → チームの成長に繋げる　個人攻撃や責任追及は絶対にNG ● 毎月必ず90分間、時間を確保する → チームにとって一番大事な時間

Slide 34

Slide 34 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ふりかえり ● 全員が黄色の付箋を使う → 誰が書いたかで印象が変わることがある ● プライベートなことも書いてOK → 特にgoodは一番付箋が多い人が勝ち！　頭をフル回転させることに意味がある ● 全員が黄色の付箋を使う → 誰が書いたかで印象が変わることがある ● プライベートなことも書いてOK → 特にgoodは一番付箋が多い人が勝ち！　頭をフル回転させることに意味がある

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ● このチームの取組を自社に展開 → 半年やってみて、やっぱり良かった ● メンバー総意の感想「腹を割って話せた」 → コミュニケーションのハードルが下がる　普段の打ち合わせもスムーズに ● 「Be ふりかえり」を達成 ● メンバーの自律的な意識変化 → 周りを頼る、カイゼンを当たり前に ● ふりかえり楽しいふりかえりサーバーワークス社内でやってみた記録はこちら

Slide 38

Slide 38 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   会社を横断したふりかえりが成功した理由 ● ユーザー側からふりかえりを主導してもらった →改善したいという熱意は外注出来ない ● お互いの立場に立って考えられるマインドを作った →2社合同での案件共有会の実施。互いを知ろうとする仕掛けが大切 ● お互いに上司を入れない会にした →腹を割って話すための前提条件ふりかえり

Slide 39

Slide 39 text

Slide 40

Slide 40 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   Backlogチケット運用の改善 ● チケットは３営業日くらいで終わる程度のタスクに落とし込む　→ ３営業日以上かかるタスクは　　「具体的な作業レベルの想像が出来ていない」　　という仮説に基づいた日数設定

Slide 41

Slide 41 text

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Slide 45

Slide 45 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   DRBFMの導入「意図せず」変化してしまう場所が無いかに気付くためのキーワード集 → 過去トラ集の側面も何がどう変わる？それによって起こる心配点は？お客様にどんな影響が？その対策、もしくは検出方法は？

Slide 46

Slide 46 text

Slide 47

Slide 47 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   Googleが取り入れているドキュメントフォーマット https://www.industrialempathy.com/posts/design-docs-at-google/ ● ゴール ● ゴールとしないこと ● 検討した代替案 ● 何を:What ● 何のために:Why ● どのように:How Design Docの導入

Slide 48

Slide 48 text

Slide 49

Slide 49 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ・ドキュメンテーションが後回しになっていて情報の連携が後手に回っていた →途中経過を記録しながらドキュメントを作っていくのでチーム全体の意思疎通・連携がスムーズになった Design Docの導入手戻りや、タスク進行中のQAも減少！手を動かす前によく考える習慣がつき、手戻りも減少！

Slide 50

Slide 50 text

Slide 51

Slide 51 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ● Organizations + Security Hubの導入 ○ 全アカウントで共通の基準で監視できている安心感 ○ 優先的に対応しなければいけない箇所が明確になった ● セキュリティ基準の変化に対する追従 ○ Stack Setの活用で、全アカウントに対する変更も1クリックで完了セキュリティ対策小さくはじめたことにより、本番環境にも安心して導入 Organizationsはやっぱり便利！ベストプラクティスたる所以がよく分かった

Slide 52

Slide 52 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ● 毎月かならずふりかえりを行う習慣 = 「Be ふりかえり度」100% ○ 楽しく、腹を割って話すことでコミュニケーションハードルを下げる ○ オンラインのみでも十分チーム力は上がる！ ● 全員が共通のゴールに向かって進む ○ ふりかえりとの組み合わせで、個人が自発的にPDCA ○ 全員でそのアイデアを共有し、チーム力を上げるチーム力の向上「Be ふりかえり」によってカイゼンすることがあたりまえの状態に変化そうすれば、会社間の関係を意識せず勝手にワンチームになる

Slide 53

Slide 53 text

Slide 54

Slide 54 text

今日から始める会社横断ワンチームのつくりかた〜僕らが進むセキュリティ向上への道〜 / DevOpsDays Tokyo 2024  © NTT SMILE ENERGY. All rights reserved   ● ふりかえりがチームにとって一番大事な時間 ● 「Be ふりかえり」度は常にMAXを維持する僕らのチームのこれから ● セキュリティ機能の充実基準に合わせて後から大きく ● 対応出来る組織の拡大誰がどう対応する？を明確化（たとえ人が変わっても）ワンチームを継続し続けます！ワンチームでAWS環境をこれからも改善していきます！

Slide 55

Slide 55 text

Slide 56

Slide 56 text