ファインディ株式会社様

クラウドリスクを3ヶ月で適正化─経営層と現場が共通の指標で実現するクラウドガバナンスの確立

ファインディ株式会社は、IT/Webエンジニアの転職サービス「Findy」や経営と開発現場をつなぐAI時代の開発資本プラットフォーム「Findy Team+」などを展開し、ITエンジニア領域における個人・組織それぞれの課題解決に取り組んでいます。同社では、Google Cloudをはじめとする複雑なクラウド環境の拡大に伴い、設定不備（CSPM）や脆弱性の網羅的な把握と、確実な管理体制の構築が重要なテーマとなっていました。

本インタビューでは、全社のセキュリティを統括するCISOの高島氏と、現場での実運用を主導したCTO室データソリューションチームマネージャーの開氏に、脆弱性管理クラウド「yamory」の導入によって、わずか3ヶ月でリスクを適正化させた具体的な成果と、組織全体に広がったセキュリティ意識の変革について詳しく伺いました。

課題

• クラウド環境の拡張に伴い、目視主体の確認体制から、さらなる効率化と網羅性を兼ね備えた自動化体制へのシフトを目指していた。

• 純正ツール等の活用も検討したものの、個別の高度な運用判断に伴う負担の軽減や、チーム間での明確な役割分担の構築に課題があった。

• 設定不備による潜在的なセキュリティリスクを横断的かつ早期に可視化する仕組みを求めていた。

• CSPM領域にとどまらず、幅広いレイヤーの脆弱性をワンソリューションで一元的に可視化・対処できる点。

• トリアージ画面の視認性が高く、優先して対応すべきリスクを直感的に判別できる点。

• Google Cloudの「クラウドアセットスキャン機能」をはじめとする機能拡張が予定されており、さらなる運用負荷の軽減を見込める将来性があった点。

導入後の効果

• 「yamory」のクラウドアセットスキャンにより検知されたリスクを、わずか3ヶ月で解消。

• リスクの可視化により、チーム全体で「リスクゼロ」に向けた明確な目標を共有し、一丸となって推進する体制を確立。

• 社内へのノウハウ展開による他部門の自律的な対応の促進に加え、経営陣からも短期間での是正実績が高く評価された。

高島氏： 
弊社は、IT/Webエンジニアの転職サービス「Findy」をはじめ、ハイスキルなフリーランスエンジニア紹介サービスや、経営と開発現場をつなぐAI時代の開発資本プラットフォーム「Findy Team+」などを企画・運営・開発しています。その中で私はCISOとして、全社のセキュリティの統括を担っております。

開氏： 
私はCTO室のデータソリューションチームでマネージャーを務めています。普段はデータエンジニアとして、主にGoogle CloudのBigQueryを使い、全社のデータ分析環境の構築や基盤整備に携わっています。今回の「yamory」の導入にあたっては、高島が全社的なセキュリティ統括の観点から導入を決定し、現場で実際に採用して運用を進めていく役割を私が担当しました。
 

高島氏： 
弊社はエンジニア向けのプラットフォームや企業の開発組織を支援する事業を展開しているため、セキュリティの担保は一過性の取り組みではなく、常に企業の重要課題として位置づけています。
定期的に経営陣へセキュリティリスクの対応状況を共有し、全社を挙げたガバナンス強化を推進しています。
 

高島氏： 
元々は、利用しているIT資産全体の脆弱性管理に加え、Google CloudにおけるCSPMの強化に向けた検討がきっかけでした。

従来も個別に目視での確認や改善活動を進めていましたが、クラウド環境の拡張に伴い、網羅性や正確性をより高いレベルで担保するには、手動の運用だけに頼らない仕組みが必要だと考えていました。
わずかな設定不備が潜在的なリスクに繋がることを防ぎ、環境全体を一元的に可視化・管理できるツールの重要性を感じていました。
 

開氏： 
そうですね。当時は、社内のSREチームと連携し、クラウドベンダーが提供する純正ツールの活用も検討していました。 ただ、個別の高度な運用判断に伴う負担や、具体的に「どのチームが主担当として日々の運用を回すか」という役割分担の整理が難しく、アイデア段階に留まっていました。 当時はリスクがまだ十分に可視化されていませんでしたが、ネットワーク構成やアクセス権限の設定状態など、クラウド利用における潜在的なセキュリティリスクへの懸念を感じていました。
 

高島氏： 
「yamory」に決めた最大の理由は、機能的な広さとトリアージの分かりやすさです。単にCSPMという領域だけに閉じている製品ではなく、幅広いレイヤーの脆弱性管理までワンソリューションでカバーできる点に魅力を感じました。

また、提供されているトリアージ画面が非常に優れており、優先して何からやればいいかが一目瞭然で分かること、さらには将来的に脆弱性のスキャンを開発フローに組み込める拡張性の高さも評価しました。
 

yamoryの対応範囲と提供価値

開氏： 
加えて、ちょうど私たちが導入を検討し始めたタイミングで、「yamory」側でGoogle Cloudのクラウドアセットスキャン機能（※1）が本格的に展開されるというお話をいただいたことも大きかったです。「これなら今後の運用が格段に楽になる」という明確なイメージを持てたことが、現場としての大きな決め手になりました。

（※1）クラウドアセットスキャン機能とは
クラウドアカウントを連携するだけで、クラウド上のホスト、コンテナ、ソフトウェア構成情報を一括取得して資産管理の対象とし、さらに設定不備（CSPM）や脆弱性まで自動検出することで網羅的な脆弱性管理を可能にする機能です。

クラウドアセットスキャン機能のGoogle Cloud対応を開始

クラウドアセットスキャン機能

開氏： 
設定自体が非常にシンプルでスムーズだったことに加え、「yamory」の管理画面上で脆弱性やEOL（サポート終了）の情報が非常に分かりやすく表示されるため、次に行うべきアクションが起こしやすいと感じています。
 

ダッシュボードのサンプルイメージ

開氏：
大きな要因は3つあります。
1つ目は、対応工数を圧縮するためにAIやコーディングツールを積極的に活用したことです。「yamory」が検知した脆弱性の概要や対応手順をAIに確認させ、パッチ対応の指示を出すことで、作業効率が劇的に向上しました。

2つ目は、「yamory」によって組織全体のIT資産の可視化ができたことで、現在本当に稼働しているプロジェクトと、すでに使われていない古いプロジェクトを明確に判別できた点です。使っていない不要なアセットをクローズするだけで、全体の数を大きく減らすことができました。

3つ目は、各プロジェクトのオーナーシップを明確にしたことです。実際に稼働しているプロジェクトに関しては、Google Cloudをメインに使う他部門のチーム（AIの全社展開を進めるチームなど）に適切な対応を依頼しました。我々のチームで培った対応ノウハウや手順を共有したことで、他のチームも自立して動いてくれるようになり、全社的なスピード解決に繋がりました。
 

開氏：
これまで見えていなかったリスクが定量的な数値としてハッキリ現れたことで、メンバー間で「これはすぐに対処しなければいけない」という危機感と、高いリスク認識をタイムリーに共有できるようになりました。数を計測しながら減らしていくという明確な目標を設定できたことで、チーム全体が同じ方向を向いて「リスクゼロ」に突き進めたのは本当にポジティブな変化でしたね。

また、自分たちのデータ基盤チームがこれだけ高いレベルでセキュリティガバナンスを担保しているんだ、という社内向けの見える化やアピールに繋がったことも大きな収穫です。
 

開氏：
他部門へノウハウを伝えていく中で、社内のエンジニア自身がセキュリティ対応を自立して行える開発文化が育っていると感じています。今まで知見がなかった他チームのメンバーも、対応方法をお伝えすることで自立して対応できるようになり、非常にポジティブな反応を得られています。

高島氏：
経営陣への報告の場において、重要課題であったGoogle Cloudの構成最適化の取り組みとして共有しました。「yamory」の活用により、短期間で潜在的な脆弱性を可視化し、対処まで完遂できた点について、高い評価を得ることができました。