チャレンジ
Zendeskの広大な製品スイートは、大規模なクラウドフットプリントを維持する必要があり、同社はマルチクラウド環境全体の可視性を維持するのに苦労していました。
開発チームは迅速に構築および拡張する自由がありましたが、セキュリティによってフラグが立てられたときに脆弱性の重要性や場所に関する洞察が不足していました。
分断されたセキュリティツールでは、保守と監視に専任の専門家が必要であり、価値の高いプロジェクトから時間とリソースを奪われていました。
解決
Zendeskは、クラウド環境を完全に可視化し、開発チームとクラウドセキュリティチーム全体でセキュリティを一元化しました
Wizの優先的な推奨事項とインサイトを活用することで、Zendeskの開発チームは、セキュリティの観点から特定の資産を所有し、重大な脆弱性に注意を向けることができるようになりました。
Zendeskは、開発中のコンテナイメージとIaC構成を積極的に保護しているため、エンジニアは新しい製品や機能の開発に時間を割くことができます。
Consolidated visibility
across a complex environment into a single pane of glass
Eliminated 96%
of critical vulnerabilities
Improved collaboration
across security and development teams with 1,200+ Wiz users
多国籍企業のリーダーへの拡大
の共同創設者 Zendeskの モーテン・プリムダール氏、アレクサンダー・アガシプール氏、ミッケル・スヴェイン氏は、2007 年にコペンハーゲンの小さなアパートで、デジタル カスタマー サポートおよびサービス ソリューションの最初のバージョンを構築しました。 最初の数か月で、約 1,000 社のトライアル顧客を獲得し、2009 年までに資金を調達し、今日では世界中に 6,000 人以上の従業員を擁する数十億ドル規模の組織となっています。 製品スイートには、さまざまなサービスおよび販売ソリューションが含まれており、それぞれに独自の専用ツールがあります。
このエコシステムをサポートし、顧客に優れたカスタマーエクスペリエンスを提供する力を提供するために、同社は継続的に成長するクラウド環境を必要としています。 これには、いくつかの主要なクラウドプロバイダー、コンテナ化されたストレージ、Kubernetesクラスター、およびプラットフォーム全体で800+のサービスを支えている10kを超える仮想マシン(VM)が含まれます。 このような複雑な環境では、同社は隅々まで可視性を維持するのに苦労し、セキュリティツールには専門家のサポートが必要で、新しいソリューションの設計に時間を費やすことができなくなりました。 Zendeskは、クラウドインフラストラクチャとともにセキュリティを拡張するために、簡素化と自動化が必要であることを認識していました。
Zendeskは、これらの技術的な課題に加えて、エンジニアリングチームと開発チーム間のコラボレーションを促進したいと考えていました。 30 人の製品セキュリティ エンジニアと 2,000 人近くのソフトウェア エンジニアを抱える同社の小規模なセキュリティ チームでは、すべてを自分で管理することは困難でした。 「これほどの大規模な環境では、誰もすべてを知ることはできません」と、ZendeskのエンジニアリングディレクターであるAndrew Wagner氏は言います。 「問題に効果的に対処するためには、セキュリティと開発者が協力する必要があります。 私のチームは、指示を待つだけでなく、セキュリティに問題を持ち込んで意見を求めることができる必要がありました。」 このように、よりプロアクティブなセキュリティ戦略へと移行する中で、Zendeskのビジョンは、Log4Shellに関連する脆弱性を迅速に発見する必要に迫られたときに試されました。
以前は非常に反応的なセキュリティ組織でしたが、今日の目標は、これらの標準を維持し、段階的に改善するためのセキュア・バイ・デザイン製品を構築することです。 Wizは、リスクがどこにあるかについての洞察を提供してくれるので、設定ミスを修正し、問題が再発する可能性を減らすことができます
同社は、Log4Shell について知ったとき、新しいセキュリティソリューションを評価していましたが、クラウド環境全体を簡単に確認する方法がなければ、潜在的なエクスポージャーを効率的に見つけることは不可能でした。 「と ウィズでは、環境全体とLog4Shellを実行している場所をすべて確認できました」と、Zendeskの製品セキュリティ担当ディレクターであるKoen Hendrix氏は述べています。 「クラウドの在庫とカバレッジに対する信頼度は、約 60% から 100% に上昇しました。 私たちはすべてのギャップを見ることができ、一晩でそれらを埋め始めることができました。 私たちはセキュリティ体制に目立った変化をもたらす方法を知っていたので、Wiz は簡単に選択できました」
盲点を掘り起こし、セキュリティ範囲を拡大
ZendeskがWizの導入を決定した後、セキュリティチームがクラウド全体にエージェントをインストールする必要がなかったため、迅速かつ簡単に導入することができました。 「Wiz のおかげで、フットプリントを迅速に実装し、見直すことができました」と Wagner 氏は言います。 「VMデータやすべての環境の盲点を、異なるソースからのソリューションをつなぎ合わせることなく発見することができました」
可視性とツールが1つの画面に統合されているため、Zendeskはリスクを十分に認識し、クラウドセキュリティに対するより積極的なアプローチに方向転換することができます。 「エンジニアが使用しているテクノロジーに対する認識が高まっており、コンプライアンスステータスの最新情報を常に提供でき、すべてが 1 つの目的地に集まっています」と Hendrix 氏は言います。 「そのため、これまで以上に迅速にリスクを見つけて対処し、より価値の高いプロジェクトにより多くの時間を費やすことができます。」 Wizを導入して以来、同社はSLAから脆弱性を95%削減し、重大な脆弱性全体の96%を修復しました。
Log4Shellが発生したとき、私たちはWizをテストしており、チームは私たちと緊密に協力して、クラウド全体の脆弱性のレビューを支援してくれました。 セキュリティグラフを見た後、それが適切であることがわかりました。 Wizは、私が個人的にZendeskで強く支持してきた唯一のベンダーツールであり、それが私たちの問題を解決するとわかっていたからです。
Zendeskはより多くのコンテキストを1か所にまとめることができるため、セキュリティチームとエンジニアリングチームは、どこでどのように時間を費やすか、どの問題を修正するのが最も重要なかについて、より多くの情報に基づいた決定を下すことができます。 チームは、タグ、メタデータ、Wiz に組み込まれている優先順位付けの推奨事項を簡単に参照して、特定の問題の微妙な違いを完全に理解できます。 つまり、特定の資産やプロジェクトを所有するエンジニアは、自分の知識をテーブルに持ち込み、問題を解決するための最善の方法についてセキュリティと連携できます。 「たとえば、エンジニアリング チームが 1 週間に 10 件のタスクを処理する時間があるとします。 以前は、単に 50 の問題を渡しただけで、どこから始めればよいかわからなかったかもしれません」と Hendrix 氏は語ります。 「今では、2つか3つの具体的な問題を共有し、なぜそれが重要なのかを説明することができます」
各製品のすべてのレイヤーにセキュリティを組み込む
現在、Zendeskの2,000人のエンジニアリング組織の半数以上がWizを使用しており、信頼できる情報源としてWizを信頼するメンバーが増えるにつれて、セキュリティチームとエンジニアリングチームは共通の言語を使用してより適切にコラボレーションできるようになりました。 「私のチーム'Zendeskの製品スタックのセキュリティ体制を、製品の各レイヤーで向上させることに注力しています」とHendrix氏は言います。 「つまり、エンジニアがアイデアを思いついた瞬間から、コードを書き、本番環境にデプロイするまで、安全であるということです。 エンジニアがWizを使うようになったので、彼らも自分の発見を持ち帰ることができるようになり、チームの結束が深まりました」
Wiz CLI を使用して、チームはコンテナイメージの脆弱性スキャンを実装し、ローカル開発中にフラグをスキャンして作成しました。 Zendeskは、エンジニアが作業を進める前に、設定ミスについて優しく警告するため、エンジニアは簡単に調整して構築を続けることができます。 これにより、潜在的な脆弱性がステージング環境に侵入したときに検出され、本番環境を危険にさらすことがなくなります。 「脆弱なイメージを構築する人々を完全に止めることはできないことはわかっていますが、問題にフラグを立てることができれば、将来的に新たな SLA が発生することを心配する必要がなくなります」と Wagner 氏は言います。
Wiz は、セキュリティとエンジニアリングの間の共通言語を提供してくれます。 それ'は、誰もがアクセスできるツールであり、非常に直感的で、一緒に仕事をするために必要なコンテキストがすべて1か所にあるため、簡単に活用できます。
このようなセキュリティ監視への協調的なアプローチにより、Zendeskは開発プロセスの早い段階で、セキュリティレフトとセキュアコードへのアプローチを徐々にシフトすることができました。 「当社のセキュリティ グループとエンジニアは、統一されたツールを手に入れたため、ソリューションのセキュリティを共同で所有し、管理できるようになりました」と Wagner 氏は言います。
また、チームは環境を監視および保護して、連邦政府のパートナーシップへのコンプライアンスを向上させることもできます。 Wizランタイムセンサー. 「Wiz Sensor を使用すると、コンプライアンス フレームワークを継続的に評価し、FedRAMP、SOC II、PCI、およびその他の要件を満たしていることをパートナーに簡単に示すことができます。すべてをリアルタイムで確認できるためです」と Wagner 氏は言います。 「これは非常に貴重です。なぜなら、私たちは基準の変化に対応し、その価値あるパートナーシップを維持できるからです」
増大するクラウドインフラストラクチャに対する新たな保護手段の実装
Zendeskは、クラウドセキュリティへのアプローチを進化させ続ける中で、 ウィズディフェンス ランタイムセキュリティを改善し、より高いレベルのシグナルで脆弱性を監視します。 「リアルタイムの可視性は、クラウド攻撃の検出、調査、封じ込めにかかる時間を短縮できるため、ゲームチェンジャーになるでしょう」と Hendrix 氏は言います。
また、チームはWizを、さらに左にシフトするための継続的な戦略の重要な部分と見なしています。 「私たちは、プロセスの最初に、設定ミスやタグの問題を早期にスキャンできるようにしたいと考えています」とHendrix氏は付け加えます。 「Wizは、セキュリティに対する当社のアプローチを成熟させるための中核的な部分です」
