DevOps Enterprise Summit 2017で発表された、ユーザー企業事例(第3回)

皆さん、こんにちは。SB C&Sの加藤です。

DevOps Enterprise Summit 2017 (DOES)の様子を3回に渡ってレポートしております。前回の記事から少し間が空いてしまいましたが、今回は最終回としてもう少し事例の紹介をしていきたいと思います。

また、最後には、ユースケース全体についての総括をまとめています。

Verizon Wirelessの事例

北米大手通信事業者の事例として発表されたのは、「DevOpsを社内にどのように広めたか？」という視点での事例でした。Verizon Wirelessでは、「Verizon Dojo」というImmersion Centerを作り、チーム単位でこのDojoに入門します。

Dojoの風景

その中で1〜6週間の期間を設けて、モダンなエンジニアリングプラクティスへのチャレンジが行われています。会社としての最終的なゴールは、エンジニアのスキルアップ、参加者の能力をFull-Stack (フルスタック)でOutcome-based (成果に基づいた)チームへシフトさせること、価値創造への時間を短縮することです。

設定されたこれらのゴールに対して実際の成果が以下のように表れています。

• サイクルタイムの改善 30〜50%
• スキルアップを実感したエンジニア 280人
• コストリダクション $0.4M/チーム

この事例からは、創造的な人材育成を行う場を提供し、それを横に展開していくCoE (Center of Excellence)プログラムの重要性を実感しました。これからは、DevでもOpsでも、エンジニアにとってより発言しやすい、やりやすい場を提供することで、縦割りによる組織的な壁、心理的な壁を撤廃していくことが重要でしょう。

United Health Groupの事例

最後にご紹介する事例は、北米でトップ3に入るヘルスケア最大手のUnited Health Groupのセキュリティーの事例です。

前提として、「なんでDevOpsとセキュリティーなの？」という方は、開発側にセキュリティーのマインドセットを浸透させていく、「シフトレフト」の考え方として、アスタリスク・リサーチのドラーチャさんのブログを参考にしていただくと良いと思います。

開発 : 運用 : セキュリティー担当 3つ役割の人口比率は、100:10:1とも言われています。United Health Groupでも、高度セキュリティー人材が少ない中で、セキュリティー担当者に全てを任せていくのは無理があるため、開発者やQA、インフラに関わるエンジニア全員が意識してセキュリティー対策を実務に組み込んでいく方向にシフトしていったそうです。

具体的な例としては、以下のようなツールを利用・開発し、ビルド時に行われる自動セキュリティーテストを実施します。実際これらは、JenkinsやTravisなどのCIサーバから実行されるようになっており、CI/CDパイプラインの一部となっています。

Gauntlt

• 　CI/CDパイプラインの一部として、脆弱性診断をハンドリング
• 　curl, nmap, sslyze, sqlmap, garmr, archniなどのツールとのアダプタになる
• 　https://github.com/gauntlt

ChaoSlingr

• 　United Health GroupでDevOpsを実践する中で生まれた診断自動化ツール
• 　https://github.com/optum/ChaoSlingr

まとめ : 結局、何を実践しているのか？

これまで事例をいくつか紹介してきましたが、DOESで発表されていたAgileやDevOpsを実践しているユーザー企業がやっていることをまとめると、以下の6つに集約されます。

アウトソースからインソース(内製化)という点では、Capital Oneの事例でも紹介しましたが、自分達が使うものは自分達で作るという戦略を掲げている発表が目立ちました。また、紹介しきれませんが、Nikeでは変革プロジェクトの期間で、年間200人以上のエンジニア採用を内製化のために行っています。こういった強烈な内製化の動きは、北米の大手だけではなく、日本へも大きく波及してくると我々は考えています。

チーム編成事例では、CSG Internationalの事例で紹介したようにサービスオーナーモデルのような方法など、人事部門も巻き込んだ様々な施策が実践されていました。また、ほとんどの企業が、DevOps変革の初期段階から始めるAgile文化の浸透、プロセスを自動化する継続的インテグレーション・デリバリ(CI/CD)、より柔軟なインフラを求めてパブリッククラウドやOSSファーストをIT戦略の重要な一部として掲げています。

もちろん、上記図の左に書いてあることが全て悪いと言っているわけではありませんし、右に書いてあること全てをやるべきだと言っているわけでもありません。やり方やどの部分をやるのかは、会社や組織ごとに違っていて良く、全てをやらないにしてもできる所からまずやってみることが大事だと感じます。

今すぐ始めましょう。これらの戦略は5年までいかなくとも、3年後の皆さんのビジネスへ大きく影響してくるのは間違いないでしょう。

参考資料(DOES公式情報)

• Youtube
  https://www.youtube.com/channel/UCkAQCw5_sIZmj2IkSrNy00A/videos
• Dropbox
  https://www.dropbox.com/sh/va48nxa9mn3kugj/AACI8lqPXbtX9uzUdGvXpVpza?dl=0
• GitHub
  https://github.com/devopsenterprise/2017-San-Francisco