開発速度とセキュリティを両立、柔軟な対応も可能な脆弱性診断サービスの仕組み

　生体認証技術によるオンライン本人確認サービスを多数の金融機関に提供するベンチャー企業、Liquid。アジャイル開発手法ならではのスピード感がその強みを支えているが、アジャイル開発にはセキュリティの維持が困難という課題もある。高水準のセキュリティを求められる金融企業を顧客とする同社にとって、高品質な脆弱性診断サービスは不可欠なものだった。

　そこで採用されたのが、東京大学発のサイバーセキュリティ企業が提供する診断サービスだ。競合に比べると組織の規模こそ小さいが、細かな仕様変更の際の小規模な診断を気軽に行えるなど柔軟性が高く、アジャイル開発との相性が良い。また、診断結果を左右するエンジニアの力量においても、地力ある若手とベテランを組み合わせる独特のリクルーティングにより、高い品質を実現している。

　この採用は当たり、高品質なレポートにより脆弱性を漏れなく発見。現在は脆弱性に起因するサービス停止は発生していないという。本資料では同社の事例から、アジャイル開発に適したセキュリティ対策を紹介する。