【シェアウィズ社】詳細な脆弱性診断が、スタートアップ企業のセキュリティ対策を後押し

株式会社シェアウィズ さま

ITと教育の力を掛け合わせた「EdTech」のスタートアップ企業である、株式会社シェアウィズ。同社が提供する、社会人向けオンライン学習サービス「ShareWis」のユーザー数は、約25万人に上っています（2020年11月現在）。
「これまでセキュリティ診断を受けたことがない」という同社に、Sreake Securityの脆弱性診断プラン（アドバンス診断）をご利用いただきました。診断を受けた経緯や感想などについて、株式会社シェアウィズ Webエンジニアの Tsai Po Wenさんにお話を伺いました。

―はじめに、御社の事業内容を教えてください。

当社は、オンライン学習プラットフォームの「ShareWis」を展開しています。
わずか90秒の動画でクイックに学べる「スナックコース」と、本格的なスキルアップを目指す人向けの「プロコース」があります。最も人気があるのは中国語学習のコースで、日本人をはじめ多くの方にご利用いただいています。語学以外にも、例えばデザインソフトの操作やプログラミングなど、多彩なコースを提供しています。

―Tsaiさんご自身は、どのような業務を担当されていますか？

プロダクトチームに所属し、Webエンジニアをしています。セキュリティ関係も担当業務に含まれますが、主な業務はプロダクト開発です。当社はスタートアップなので、まずはプロダクトの開発に注力しているところです。もちろんセキュリティ対策も重要なので、取り組んではいますが…。

―人材や時間は限られているので、社内だけでは対応に限界がありますよね。
　今回、「Sreake Security」をご利用いただいた経緯を教えてください。

きっかけは、当社の社長である辻川が、元々知り合いのスリーシェイクの方からSreake Securityを紹介していただいたことです。XSSなど外部攻撃に対する懸念は常にありますし、折角の機会なのでぜひ試してしてみようと。それに、スリーシェイクはセキュリティ対策とプロダクト開発の知識・技術を持ち合わせているので、脆弱性診断を任せる上で信頼できると考えました。

―スリーシェイクを信頼してお任せいただけて、光栄です！
　実際に脆弱性診断を受けてみて、いかがでしたか？

今回、「ShareWis」を構築しているWebアプリケーションについて、ステージング環境でブラックボックステストを受けました。期間は１週間程度ですね。その間、スリーシェイクの担当者とは主にSlackでコミュニケーションをしました。非常にスムーズにやり取りできましたし、進捗状況を定期的に報告してくださったので、安心して進められました。

―診断の結果、脆弱性は見つかりましたか？

はい。想定してなかった脆弱性が見つかり、スリーシェイクの診断力の高さに感服しています。

―診断後の報告書はいかがでしたか？

驚くほど詳細な診断報告書をいただいて、満足しています。診断が終わってから約１週間で報告書が届きました。短期間でこれだけ詳細な報告書を作成できるなんて、本当にすごいですね。診断結果の項目が充実していますし、解決策やそれを実現するための方法も丁寧に紹介されているので、大変わかりやすかったです。

―報告書を褒めていただき、ありがとうございます。
　Sreake Securityの脆弱性診断を受けてみて、セキュリティ対策への意識は変わりましたか？

そうですね。今回の診断を良い契機にして、これまで以上にセキュリティに注意を払っていこうと思っています。プロダクト開発や保守の体制も、必要に応じて見直していきたい。例えば、現状ではコーディングを複数の部署が行っているので、コーティングスタイルなどに多少ばらつきがあります。今後の脆弱性発生を防止するためにも、コーディングスタイルやコードタイプを統一していこうと考えています。

―ぜひ、今回の診断結果を今後のセキュリティ対策にお役立てください！
　最後に、Sreake Securityを利用した感想や今後期待することがあればお聞かせください。

実際に診断を受けてみて、スリーシェイクの迅速で高度な診断力を目の当たりにしました。これから当社が更に成長していく中で、機会があれば改めて利用してみたいです。

今後への期待としては、リアルタイムでの簡易レポートがあると、利便性が更に高まると思います。現状では、診断で見つかった脆弱性への対応が完了した後に、改めてスリーシェイクに再診断してもらう流れになっています。これに加えて、対応の途中段階でも随時チェックできるようになれば、より素晴らしいサービスになるだろうなと。今後の発展に期待しています。

―貴重なご意見をありがとうございます。今後の参考にさせていただきます。
　Tsaiさん、本日はありがとうございました！

written by　三谷 恵里佳　https://tokyo-merrydsn.com/

Sreake Security(現Securify脆弱性診断サービス)の事例となります