Recommended
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (20)
Similar to 製品品質向上のための開発本部の取り組み
Similar to 製品品質向上のための開発本部の取り組み (20)
More from Cybozucommunity
More from Cybozucommunity (20)
Recently uploaded
Recently uploaded (9)
製品品質向上のための開発本部の取り組み
- 2. 本⽇日の内容 • 開発部 kintone チーム ⻑⾧長⾕谷川 淳 • マイクロサービス部 ⽣生産性向上チーム 宮⽥田 淳平 製品開発チームによる 品質向上のための取り組み • サイボウズ CSIRT 事務局 伊藤 彰嗣 製品セキュリティ向上のための Cy-‐‑‒SIRT の取り組み
- 4. ソフトウェアライフサイクル 要件定義 設計・開発 テスト 運⽤用・保守 サービスの構想からお客様に活⽤用されるまでの⼀一連 の⼯工程
- 5. 開発本部の取り組み 要件定義 設計・開発 テスト 運⽤用・保守 • ⾃自動テスト • SIEM の活⽤用 • ⽣生産性向上施策 開発部 •脆弱性検査 •脆弱性管理理 •脆弱性報奨⾦金金制度度 CSIRT
- 6. 開発本部の取り組み 要件定義 設計・開発 テスト 運⽤用・保守 • ⾃自動テスト • SIEM の活⽤用 • ⽣生産性向上施策 開発部 •脆弱性検査 •脆弱性管理理 •脆弱性報奨⾦金金制度度 CSIRT
- 7. 開発本部の取り組み 要件定義 設計・開発 テスト 運⽤用・保守 • ⾃自動テスト • SIEM の活⽤用 • ⽣生産性向上施策 開発部 •脆弱性検査 •脆弱性管理理 •脆弱性報奨⾦金金制度度 CSIRT
- 8. 製品開発チームによる品質向上のための取り組 み サイボウズ株式会社 kintone チーム ⻑⾧長⾕谷川 淳 ⽣生産性向上チーム 宮⽥田 淳平
- 9. ⾃自⼰己紹介 ▌⻑⾧長⾕谷川 淳 l2011 年年⼊入社 lkintone チームのプログラマー兼チームリーダー lサーバーサイドエンジニア ▌宮⽥田 淳平 l2009 年年⼊入社 l⽣生産性向上チーム l組織を横断した開発基盤の構築、⽣生産性の向上
- 12. 開発サイクルと試験 開発者による ⾃自動テスト 品質保証担当者によ る⼿手動テスト 要件定義 設計・開発 テスト 運⽤用・保守 安定した品質の提供には 繰り返し試験することが必要
- 13. 開発段階のテストの重要性 ⾃自動テスト l 製品の不不具合を早期発⾒見見 l ⼿手動テスト前に⼀一定以上の品質を保証 開発 テスト ⼿手動テスト Jenkins コード変更更時に ⾃自動実⾏行行 ⾃自動テスト失敗時に 変更更者に通知
- 14. ⾃自動テストの種類 Ø プログラムが部品 単位で動くことを 確認するテスト Ø 約8,000テスト ケース ユニットテスト Ø サーバーにリクエ ストを送り期待通 りのレスポンスが 返ることを確認す るテスト Ø 約1,500テスト ケース Ø ブラウザから製品 にアクセスして期 待通りの動作をす ることを確認する テスト Ø 約1,000テスト ケース APIテスト ブラウザテスト
- 15. ブラウザテストの重要性 ユニットテスト APIテスト ブラウザテスト プログラム単位 ユーザー操作に近い ユーザーにとって価値の⾼高い操作シナ リオを 達成できていることを保証
- 16. ブラウザテストデモ
- 18. ブラウザテスト環境の構成 Selenium Grid 複数のノードに振り分けて ブラウザテストを並列列実⾏行行 ブラウザテストの実⾏行行 実⾏行行環境 コンテナと呼ばれる仮想環境を 50ノード分構築
- 19. ⾃自動テストの成果 ▌製品の品質の保証だけでなく、不不具合の早期発⾒見見やその対応に かかる開発、テストのコスト削減に⼤大きな効果 l 製品のすべての変更更時にすべての⾃自動テストが実⾏行行 l 1⽇日に合計1万テストケース以上実⾏行行 l 単純計算で数⼗十⼈人〜～数百⼈人単位の⼯工数相当 l 年年間で数⼗十件の不不具合を検知して防いでいる
- 27. エラーの可視化の成果 ▌開発チームによる障害の調査コストを⼤大幅に下げることができ、 障害対応までの時間短縮になる 障害情報の視覚化 l エラーの発⽣生状況 l 影響範囲 l エラーの原因
- 28. 将来的な取り組み
- 31. まとめ
- 34. ⾃自⼰己紹介 ▌伊藤 彰嗣 ▌2006 年年⼊入社 ▌サイボウズ株式会社 CSIRT 事務局 l外部機関との窓⼝口対応（PoC） https://owaspappsecapac2014.sch ed.org/speaker/akitsugu_̲ito#.Va9 YSnkViAg https://plus.google.com/11411 9086107806612904/posts/ZFt 2KVhYPLY
- 36. サイボウズの CSIRT Cy-‐‑‒SIRT（さいさーと） （Cybozu Computer Security Incident Response Team） インシデント 対応⽀支援 外部機関との 連携 脆弱性情報 管理理 インシデント 発⽣生予防
- 38. サイボウズの脆弱性対 策
- 39. インシデントの発⽣生予防 インシデントに事前に備える取り組み 「脆弱性検査」 / 「各種認証の取得」など インシデント 対応⽀支援 外部機関との 連携 脆弱性情報 管理理 インシデント 発⽣生予防
- 40. 脆弱性検査 Cy-‐‑‒SIRT Web 健康診断 仕様で網羅羅的 第 三 者 機 関 攻撃者視点で 的確な診断 https://www.ipa.go.jp/files/000017319.pdf ソフトウェアやシステムに対して、脆弱性が 無いか検査するもの
- 42. 外部機関との連携 インシデント 対応⽀支援 外部機関との 連携 脆弱性情報 管理理 社外の⽅方との協⼒力力関係を構築する 「⾃自社製品届出」 / 「脆弱性報奨⾦金金制度度」 など インシデント 発⽣生予防
- 44. ⾃自社製品届出 IPA JPCERT/CCサイボウズ JVN で公開 JVNiPedia で公開 https://www.ipa.go.jp/security/ciadr/partnership_̲guide.html 製品開発者が⾃自社の脆弱性情報を周知する⽬目的で 脆弱性情報を IPA に対して届け出ること
- 48. ⾃自社製品の脆弱性対応
- 49. 脆弱性の評価 影響度度 情報の CIA を どの程度度侵害するか 攻撃容易易性 攻撃者がシステムを 容易易に攻撃できるか 定量量的な数値で脆弱性の深刻度度を表現 脆弱性に対するオープンで標準的な評価⼿手法である CVSS v2 を使い、脆弱性を２軸で評価
- 51. 脆弱性情報の公開 サイボウズからのお知らせ • サイボウズから発信するセキュリティ情報全般を掲載 • https://cs.cybozu.co.jp/security/ 不不具合情報公開サイト • 脆弱性を含むサイボウズ製品の不不具合情報を掲載 • https://support.cybozu.com/ja-‐jp/ 脆弱性を改修したことを⾃自社サイトにて公開
- 52. 脆弱性報奨⾦金金制度度
- 53. サービスをセキュアにする活動 セキュア 開発訓練 コーディ ング規約 フレーム ワーク化 開発 脆弱性の 即応体制 オペレー ター教育 運⽤用 脆弱性 検査 脆弱性 管理理 外部機関 との連携 QA
- 55. 検証環境提供プログラム お客様が ご利利⽤用中の環境 プログラム参加者が 利利⽤用する環境 ご利利⽤用中のお客様に影響を与えず に 報奨⾦金金制度度を運営するための仕組 み 2015 年年 10 ⽉月現在 131 名の⽅方が利利⽤用 http://cybozu.co.jp/securityprogram.html
- 58. まとめ
- 59. Cy-‐‑‒SIRT の取り組み • 社内外とのコミュニケーションがスムーズに 標準的な⼿手法を採⽤用 • ポリシーやガイドライン、監査結果を外部に公開 公明正⼤大に情報公開
- 60. 終わりに
- 62. ご質問