開発生産性をむしろ向上させる セキュリティパートナーの作り方 / Dev Productivity Con 2024

by Flatt Security

Slide 1

Slide 1 text

開発生産性をむしろ向上させる  セキュリティパートナーの作り方株式会社Flatt Security 執行役員豊田恵二郎株式会社カミナシセキュリティエンジニアリング西川彰 2024/06/28

Slide 2

Slide 2 text

豊田恵二郎 w (株)Flatt Security 執行役員CCV w 東京大学工学部航空宇宙工学科在籍時に共同創i w 96年生まれ、横浜出y w 1人と2台で暮らしてま w ’88 マツダ FC3S / ’96 ビュイックリーガルワゴン開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 3

Slide 3 text

西川彰 G (株)カミナシセキュリティエンジニアリンU G (一社)鹿児島県サイバーセキュリティ協議会代表理Y G AWS Community Builder, CISS! G 84年生まれ、鎌倉出身（鹿児島県霧島市在住 G 妻と息子(9歳)と猫2匹と暮らしてます開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 4

Slide 4 text

2つの診断サービスを軸に、プロダクト開発組織を多角的に支える手動・高度診断セキュリティ診断コード・仕様の分析も行い、専門家が脆弱性を網羅的に発見自動・継続診断インフラからWebアプリまで、脆弱性診断をスマートに内製化 2つを組み合わせたサービス提供も可能開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 5

Slide 5 text

Mission エンジニアの背中を預かる開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 6

Slide 6 text

モダンなプロダクト開発組織からの圧倒的支持セキュリティ診断提供実績(一部) 開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 7

Slide 7 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方皆さんの会社で、プロダクトセキュリティを担うエンジニアは足りていますか？

Slide 8

Slide 8 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方いない or 足りていない

Slide 9

Slide 9 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方いない or 足りていない内製で何に対処すべきか、どの部分を外部パートナーに委託するかといったリソース配置を適切に行わなければならない

Slide 10

Slide 10 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方本日のイベントのタイトルを覚えている方〜？

Slide 11

Slide 11 text

No content

Slide 12

Slide 12 text

開発生産性 vs セキュリティ開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 13

Slide 13 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方トレードオフだが、セキュリティは欠かせない(しかし100%もない) 自社にフィットしたセキュリティソリューションを選定し、開発生産性を下げず、むしろ向上させるような取り組みが必要

Slide 14

Slide 14 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方トレードオフだが、セキュリティは欠かせない(しかし100%もない) 自社にフィットしたセキュリティソリューションを選定し、開発生産性を下げず、むしろ向上させるような取り組みが必要 = 本日の参加者層的には... エンジニアファーストなセキュリティサービス

Slide 15

Slide 15 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方課題 1 プロダクトセキュリティのリソース不足内製/外部委託など適切なリソース配置課題 2 開発生産性vsセキュリティのトレードオフエンジニアファーストなセキュリティ

Slide 16

Slide 16 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方この2つのポイントを抑えて実現する「むしろ開発生産性を向上させるセキュリティ」

Slide 17

Slide 17 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 18

Slide 18 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方 “セキュリティエンジニアリング” のミッションプロダクトセキュリティの「開発組織全体にセキュリティの意識や知識が根付いており、」を目指すイネーブルメンx セキュリティエンジニア以外もセキュリティの実践に関して自律的な意思決定ができる状態

Slide 19

Slide 19 text

自動でライトがつく無灯火を知らせる開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 20

Slide 20 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方 “セキュリティエンジニアリング” の具体的取り組み t リスクマトリクスの作k t 社内セキュリティ競技会の開j t セキュリティニュースの配f t 各チームとセキュリティに関する定w アドバイスや相y 他チームのインシデントの共a 総じて情報の横展開を意識

Slide 21

Slide 21 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 22

Slide 22 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 23

Slide 23 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方しかしここで身も蓋もない事を言うと... イネーブルメントに動ける西川さんのようなですシニアセキュリティ人材がいなければこのような内製の取り組みは難しい

Slide 24

Slide 24 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方セキュリティエンジニア採用の難易度は格段に高く多くの組織で人材が不足外部パートナーを頼ることがプライオリティの高い選択肢になってくるのではないでしょうか (カミナシさんですら外部の力を借りる)

Slide 25

Slide 25 text

Slide 26

Slide 26 text

1 2 3 https://blog.flatt.tech/entry/security_assessment_vs_bugbounty

Slide 27

Slide 27 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方しかし、外部パートナー選定こそという観点が必要(内製は後からでも舵を取り直すことができるので) 「自社にフィットしたソリューションを選定し、開発生産性を下げず、いやむしろ向上させるような取り組み」

Slide 28

Slide 28 text

Slide 29

Slide 29 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方エンジニアファーストなセキュリティ外部委託

Slide 30

Slide 30 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方エンジニア・開発組織に最適化されたセキュリティサービスは少ないコーポレート部門セキュリティサービスを提供従来の多くのセキュリティ企業エンドポイント保護、ネットワーク防御、情報セキュリティ研修、アイデンティティ管理... プロダクト・ソフトウェア開発に携わる人最適化されたセキュリティサービスを提供ソフトウェア産業の拡大とともにニーズが増えているにも関わらず、最適化されたサービス提供が少ない

Slide 31

Slide 31 text

エンジニアファーストなセキュリティ外部委託コミュニケーションで寄り添う技術で寄り添う開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 32

Slide 32 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方コミュニケーションで寄り添う HowだけでなくWhat・Whyをサポートする z わかりやすいリスク・対策の解i z 脆弱性再現方法のJavaScript PoCを提w z 事後的な検査だけでなく、上流工程でのコンサルティングを提供

Slide 33

Slide 33 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方 “診断実施”をゴールにしないコミュニケーション取締役CTO 原さん：Flatt Securityさんは最初から「『カミナシ』をよりセキュアにするにはどのようにすべきか」という点に重きを置いてコミュニケーションを取ってくださったので、伴走力の強さを感じました。

Slide 34

Slide 34 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方 “課題解決”に向き合うオンボーディング取締役CTO/CISO 田島さん：製品導入のレクチャーに留まらず、週次のミーティング等を通じて運用課題の整理や運用体制構築に対するアドバイスをいただけるという内容で非常に魅力的でした。プログラムの内容も画一的ではなく、一緒に課題解決に向けて動いてもらえそうな印象を受けました。

Slide 35

Slide 35 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方技術で寄り添う開発の要素技術・フェーズ・サイクル等の制約をクリアするサーバーレスな環境に対して最適な診断手法を提案してくれ自動診断と手動診断の使い分けができ DevOpsサイクルに組み込んだ運用やシフトレフトが実現可能

Slide 36

Slide 36 text

再掲 2つの診断サービスを軸に、プロダクト開発組織を多角的に支える手動・高度診断セキュリティ診断コード・仕様の分析も行い、専門家が脆弱性を網羅的に発見自動・継続診断インフラからWebアプリまで、脆弱性診断をスマートに内製化 2つを組み合わせたサービス提供も可能開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方

Slide 37

Slide 37 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方認証・認可・決済など重要なビジネスロジックの機能も検査したい手動診断でなければ対処できない大きなコードベースの変更を控えているのに数百万円かけて手動診断を実施する手動診断は現実的ではないが高コスパ自動診断

Slide 38

Slide 38 text

まとめ

Slide 39

Slide 39 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方プロダクトセキュリティ内製の心得 u セキュリティは力を持っているからこそ u 開発者は常に生産性をいかに上げられるかを考えて、そこに向き合っているはず。そのような気持ちにいかに寄り添うことができるか、が求められる生産性を奪いかねなo 力を持っているからこその振る舞い

Slide 40

Slide 40 text

開発生産性をむしろ向上させるセキュリティパートナーの作り方開発生産性をむしろ向上させるセキュリティパートナーの作り方プロダクトセキュリティ外部委託の心得 v 内製と同様、開発生産性を奪わないためにであることが大y v そのためにの2点を持つパートナーを見つけたい   エンジニアファースト (1)コミュニケーションで寄り添う (2)技術で寄り添う