エンタープライズ顧客も増え急成長中の「commmune」のセキュリティ診断。他社より高い解像度のプロジェクト進行と開発者に寄り添った報告書を評価

コミュニティプラットフォーム「commmune」とは

「commmune」は、コミューン株式会社が提供するコミュニティサクセスプラットフォームです。自社に最適な顧客コミュニティをノーコードで簡単に構築・運用でき、顧客・ユーザーコミュニケーションのワンストップ化が可能です。顧客コミュニティを通して、課題解決・利用度向上・ファン増加を促し、企業の継続的な売上向上を実現します。 「commmune」の詳細はこちら。 https://commmune.jp/

今回Chainopticは「commmune」を対象に、Webアプリケーション診断を実施しました。

コミューン様がセキュリティ診断を利用した経緯と感想をプロダクトオーナーの久松佑輝さんとSREの川岡潤さん、エンジニアの根岸徹也さんにお伺いしました。

エンタープライズの顧客が増えてきたことで、より高いセキュリティレベルを客観的に示すことが求められるようになった

SREの川岡潤さん

――まず最初に、Chainopticを知っていただいた経緯を教えてください。

川岡潤さん（以下、川岡さん）：コミューン内に前職でChainopticさんにセキュリティ診断を依頼した経験があるエンジニアがおり、そのメンバー経由でChainopticさんを知りました。

――セキュリティ診断が必要になったきっかけを教えてください。

久松佑輝さん（以下、久松さん）：「commmune」の顧客にエンタープライズの企業様が増えてきたことで、より高いセキュリティレベルを客観的に示すことが求められるようになったことがきっかけです。

セキュアなアプリケーション開発は常に意識していましたが、どうすれば現在のセキュリティレベルを網羅的に把握できるだろうかと手段を模索していました。社内で脆弱性を洗い出すにはかなりの工数がかかるので、まずは第三者のベンダーさんに診断してもらうことを決めました。

初回のミーティングからセキュリティエンジニアが同席してくれたので、いきなり技術的な話ができてスピード感があった

プロダクトオーナーの久松佑輝さん

――Chainopticを選んでいただいた決め手を教えてください。

久松さん：最初のミーティングで営業の方に加えてセキュリティエンジニアの方も同席して頂けたので、技術的な話がいきなりできたことは決め手のひとつになりました。

他の診断ベンダーさんだと最初のミーティングは営業の方のみで技術的な話は次回以降、となることが多いので、Chainopticさんが一番スピード感がありプロジェクト進行の解像度も高かったです。

川岡さん：スピード感もそうですが、レスポンスの質も高いと感じました。

他ベンダーと比較して見たことのないくらい丁寧な報告書だった。評論家的ではなく、開発者に寄り添っていることが伝わった

エンジニアの根岸徹也さん

――実際にセキュリティ診断をした感想を教えてください。

久松さん：Slackを使った非同期のコミュニケーションはストレスが無く、年末年始の休暇が明けてすぐに診断に向けて動き出せたのはスピード感があって良かったところです。

根岸徹也さん（以下、根岸さん）：エンジニア目線だと報告書がわかりやすいのが良かった点です。

セキュリティの専門家ではないエンジニアも多いので、指摘事項が具体的で再現性も高いのはありがたかったです。エンジニアのリソースは限られていますからね。

川岡さん：他ベンダーさんと比較しても、ここまで丁寧な報告書は今までありませんでした。Chainopticさんも診断会社であることには変わりはないのですが、評論家的なベンダーさんとは違い、報告書の内容が開発者に寄り添ってくれているなと感じました。

特に指摘事項の再現手順が、実際のコードや画面キャプチャ付きで説明されているというのは初めての経験でした。また、脆弱性を発生させないための根本的な対策を具体的な指示レベルで提示してくださったのもChainopticさんが初めてでした。

前職で他のベンダーさんにセキュリティ診断を依頼した際には「攻撃の実現性は低いが脆弱性が存在する」などと報告され、関係者へどう説明すればいいか困った経験もありました。

Chainopticさんの報告書は指摘事項についてとても具体的に説明されていたので、そのようなことが無くて助かりました。

――今後、Chainopticについて期待することや要望することなどがあれば教えてください。

久松さん：定期的なセキュリティ診断は必要だと考えていますので、その時はまた相談に乗っていただきたいと思います。

川岡さん：アプリケーションは日々アップデートされていきますがChainopticさんにはそこをキャッチアップしていただき、アップデートの差分を踏まえて診断プランを提案していただけると嬉しいです。

根岸さん：個人的にはChainopticさんがリリースされている技術ブログを継続していただきたいです（笑）。エンジニアとしては非常に勉強になるコンテンツです。