専門家インタビュー：Oscar Quintas氏に聞くInfrastructure as Code

テック系スタートアップで働く醍醐味の一つは、仕事を通じて興味深く優秀な人々と出会い、協力し合えることです。素晴らしいアイデアを本格的な市場競争力のある企業へと成長させるには、自分だけの「アベンジャーズ」（あるいは、好みに応じて「ジャスティス・リーグ」）のようなチームを結成する必要があります。

そこで今回は、当社のエキスパートの一人、オスカー・キンタスをご紹介します。プロダクトコンテンツチームでシニアセキュリティリサーチャーを務める彼は、Infrastructure as Code（IaC）に関するあらゆる事柄を熟知した、まさにこの分野の魔術師です。彼は178個（現在も更新中！）に及ぶIaCプラットフォームチャレンジの立役者であり、このホットなトピックに関するあらゆる疑問を解決してくれる頼れる存在です。

彼をより深く知っていただくために、インタビューを行いました。IaCセキュリティという注目のトピックに関する洞察や、自身の役割、そして組織がクラウドインフラとエンジニアを強化するために何ができるかについて語ってもらいます。

Q：Secure Code Warriorでの役割と、普段の業務内容について教えてください。

A：プロダクトコンテンツチームでシニアセキュリティリサーチャーをしています。主な業務は、さまざまな言語（Python、Java、Golangなど！）で書かれたチャレンジコードをレビューし、コード品質基準を満たしているか、セキュリティのベストプラクティスが実装されているかを確認することです。また、新しいIaCコンテンツの開発も行っています。

Q：あなたは当社のIaCプラットフォームチャレンジの全開発を支える天才ですが、どのようなプロセスで作成しているのですか？

A：リサーチと、多様なスキルレベルのユーザーにとって関連性が高く、魅力的なコンテンツを届けるための努力の積み重ねですね。通常は、ユーザーがインフラ構築時に直面する最も一般的な問題を探ることから始め、その情報をもとに、各ケースにおけるセキュリティのベストプラクティスを示す有用なチャレンジを開発しています。

常に「ウォリアー」の皆さんに優れた学習体験を提供し、実務に関連した有益な演習として、継続的なメリットを感じてもらえるよう心がけています。

Q：IaCセキュリティは現在非常に注目されていますが、企業のクラウドセキュリティの実践において、主な課題は何でしょうか？
A：Infrastructure as Codeとは、コードを使ってインフラリソースを管理することです。わずか数行のコードで、数百ものクラウドリソース（ネットワーク、ファイアウォールルール、仮想マシン、コンテナなど）をデプロイできますが、適切に設定されていなければセキュリティ上の欠陥が含まれる可能性があります。つまり、安全なアプリケーションデプロイに適用される原則はIaCにも適用されるため、SDLCに関わるすべてのチームがこれらのリスクと修正方法を理解しておく必要があります。

こうした意識と行動は、IaCセキュリティに関する適切なトレーニングから始まり、クラウドエンジニアのセキュアコーディングスキルを優先することにつながります。彼らは強力な防御層となり得ます。特に、アプリケーションをホストするインフラを構築する際には、この点が非常に重要です。

Q：業界ではKubernetesへの関心が高く、広く利用されているようです。しかし、当社のプラットフォームデータではTerraformが圧倒的な人気を誇り、高いエンゲージメントを示しています。なぜこれほどまでに支持されているのか、見解を聞かせてください。
A：Terraformは、シンプルな構文でマルチクラウド環境（AWS、GCP、Azureなど）のインフラリソースをデプロイできるため、IaCの事実上の標準言語となっています。コードでインフラを定義し、クラウドAPIと透過的にやり取りしてリソースのデプロイを管理できるのが特徴です。

この言語は非常に汎用性が高く、ソース管理リポジトリに追加できるため、DevOpsやDevSecOpsの原則をインフラデプロイにも適用できます。ただし、新たな脅威も持ち込まれるため、Terraformを用いたセキュアコーディングの包括的なトレーニングが不可欠です。

Q：IaCセキュリティのエキスパートとして、仕事のやりがいは何ですか？
A：IaCはまだ黎明期にあり、新しい技術が頻繁にリリースされています。最新技術に追いつくのは大変ですが、同時にやりがいも感じます。新しいことを学び、新しいサービスに対するセキュリティのベストプラクティスを検証するのが大好きなんです。

IaCセキュリティを次のレベルへ引き上げましょう。

クラウド開発者のIaCセキュリティスキルを磨きたいなら、当社のIaC Top 8に挑戦してみてください！各章では、よくある8つのIaCセキュリティバグを解説しており、インタラクティブなチャレンジを通じて新しい知識をテストできます。

スコアを教えてください。オスカーもきっと喜ぶはずです！