サイボウズがOSSの脆弱性管理にyamoryを採用した理由とは？

脆弱性管理クラウド「yamory(ヤモリー)」の新機能をメディア向けに先日発表したVisionalグループのアシュアード。本稿では、記者説明会で紹介されたサイボウズにおけるyamoryを活用した脆弱性管理の取り組みについてレポートする。

サイボウズのセキュリティ体制

ご存知の通り、サイボウズはグループウェアの「サイボウズ Office」「Garoon」、業務システム構築プラットフォーム「kintone」、メール共有システムである「Mailwise」をはじめとしたクラウドサービスを提供している。

同社のセキュリティ体制は、製品セキュリティの向上を目的としたPSIRT(Product Security Incident Responce Team)、セキュリティインシデントの対応・予防を主とするセキュリティ室、これら2つの仮想組織であるCy-SIRT(Cybozu Security Incident Response Team)がセキュリティ全般を取り扱うチームとして活動している。

サイボウズ 開発本部 PSIRTの長友比登美氏は「それぞれ違うチームではありますが、セキュリティを取り扱ことは一致しているため協力しながら活動しています」と述べた。

• サイボウズ 開発本部 PSIRTの長友比登美氏

長友氏自身も所属するPSIRTでは、社内外のセキュリティ診断を実施しており、社内では製品ごとのスケジュールに合わせた検証を計画・実施し、仕様書やソースコードを即時に確認できる立場を活用した診断を開発者と密にやり取りをしつつ行っている。

社外については多角的な製品チェックやセキュリティのプロの視点を取り入れるために、第三者機関によるセキュリティ診断をクラウド版の製品は年1回以上実施している。