セキュリティ、外部に丸投げしてない？

先週、投資家との定例MTGで「情報管理どうしてるの？」と聞かれた。正直、ちゃんと答えられなかった。

うちはフルリモートで8人。クラウドツールを組み合わせて動いているけど、デバイス間の通信が本当に安全か、と問われると自信がない。Slackやノーションは使ってるけど、開発メンバーが社内ツールにアクセスする経路が雑なままだったりする。

競合がセルフホスト型VPNに移行した話を聞いた

そんなときに目に入ったのがNetBirdという OSS のツールだ。WireGuardというプロトコルをベースにしたメッシュネットワークを、自前のサーバーで管理できる。Tailscaleと同じ仕組みだけど、決定的に違うのはホストサーバーを自社で持てる点だ。

Tailscaleは外部サービスとして提供されているから、サービスが終了したり、セキュリティインシデントがあったりすると詰む。うちのサービスの顧客データが絡む通信を、外部の管理サーバーに依存させておくのはリスクがある。投資家にそのまま言えないレベルの話だと思った。

NetBirdはGitHubで公開されていて、Google CloudのVMインスタンス上のDockerで動かせる。セットアップもコマンド1本で始まり、ドメイン名を入力してプロキシを選ぶだけで管理画面まで立ち上がる。無料で使える。

8人規模で「ゼロトラスト」が現実的になった

ゼロトラストって、大企業がやるものだと思ってた。でも NetBird の管理画面を見ると、「どのデバイスがどのデバイスと、どのポートで通信できるか」をビジュアルで管理できる。左にユーザーやグループ、中央にルール、右に接続デバイスが並ぶ構成だ。8人でも十分使いこなせる設計になっている。

フルアクセスではなく、特定のポートだけ許可するルールも設定できる。開発メンバーには開発環境だけ、セールスには CRM だけ、みたいな切り分けが自分でできる。これを外注せずに自前でできるのは、採用段階でエンジニア候補に見せても印象がいいと思う。

Windows、iOS、Androidにクライアントアプリがあって、App StoreやGoogle Playから普通にインストールできる。メンバーへの展開も難しくない。

自分が次にやろうとしているのは、まずテスト用のVMでNetBirdを立ち上げてみることだ。投資家に「セキュリティどうしてる？」と聞かれたとき、ちゃんと答えられる状態にしておきたい。Series Aを狙うなら、そこは手を抜けない。