Okta Venturesのポートフォリオ企業の創業者に毎月1人ずつスポットライトを当てるシリーズ「Founders in Focus」へようこそ。これらの詳細と、Oktaとの連携の仕組みについて学習します。今月はPangeaをご紹介します。Pangeaの創業者兼CEOであるOliver Friedrichs氏と対談し、開発者にセキュリティツールを提供するという同社のミッションについて伺う機会を得ました。
Pangeaとは何ですか。また、そのミッションは何ですか。
Pangeaは、世界初のSecurity Platform as a Service（SPaaS）プロバイダーです。当社は、クラウドおよびモバイルアプリの開発者、SaaSプラットフォームのプロバイダー、セキュリティオペレーションセンター向けに、最も包括的なセキュリティサービスのコレクションを提供しています。私たちのミッションは、セキュリティをすべての開発者のツールセットの中核に据えることです。
Pangea入社以前は、どのような経緯で現在に至ったのでしょうか。
Pangea入社前は、複数のスタートアップ企業や大手エンタープライズセキュリティベンダーで、オンプレミス型、後にはクラウドベースのエンタープライズセキュリティ製品をいくつか開発する機会に恵まれました。これらの製品は、最終的に世界で最も重要な組織のいくつかを保護する役割を果たしました。これには、McAfee、Symantec、Cisco、Splunkなどが含まれます。
以前の会社はPhantomという名で、数百のベンダーが提供する300以上のAPIベースのアプリケーションやデータソースと統合し、それらの製品を実質的につなぎ合わせる事業を行っていました。当社は、形成されつつあった新しいAPIファーストのエコシステムの顧客であり、特にセキュリティオペレーションセンターに重点を置いていました。
2018年にPhantomが買収された後、Splunkでセキュリティ製品担当VPとして3年間勤務しました。その後、移行が完了した2021年初頭に退職し、しばらく休暇を取ることにしました。新しいクラウドアプリケーションを積極的に構築している多くの友人や同僚と話す機会がありました。
1つ明らかになったことがあります。それは、私たちが構築したすべての製品、そして彼らが構築していたすべての製品において、エンタープライズが必要とする主要なセキュリティ機能を再開発しなければならなかったということです。基本認証や認可のニーズであれ、マルウェアスキャン、PII管理、監査ログなどの特定の機能であれ、同様です。毎回同じものをゼロから開発しており、これらの構成要素をすぐに使える形で提供できる可能性があることは明らかでした。
同時に、TwilioやStripeのような企業は、開発者が自社のアプリに組み込むための外部APIとしてクラウドアプリケーションの一部を提供できることを証明していました。これはコミュニケーションや決済処理では非常にうまく機能していました。では、サイバーセキュリティではどうでしょうか。
Forresterは、2027年までにソフトウェア企業が100万社に達する可能性があると予測しています。セキュリティ専門家ではない開発者が、それぞれ独自のセキュリティ機能を実装している場合、エラーが発生する余地が多分にあります。
解決すべき大きな問題があることが明らかになり、私は次にPhantom時代の共同創業者でCTOだったSourabh Satishに電話をかけ、開発者向けの統合セキュリティフレームワークの構築について話し合いました。そこからすべてが始まりました。
Pangeaのソリューションとは何ですか。どのような課題を解決しますか？
Pangeaでは、世界初のSPaaSを構築しています。これは、開発者がどのようなクラウドアプリケーションにもセキュリティを簡単に追加できるようにするためのビルディングブロックを提供するものです。認証から認可、シークレット管理、セキュアな監査ログ、暗号化技術、セキュアなファイルストレージまで、あらゆる機能を提供します。前述のとおり、このモデルは他のカテゴリーにおいてソフトウェアデリバリーを再定義するのに有効であることがわかっています。
- AWS、GCP、AzureなどのPaaSプロバイダーは、現在、コンピューティング、ストレージ、データベース向けに数百ものAPIを提供しています。
- TwilioがメッセージングとコミュニケーションのAPIを提供してCommunication PaaS（CPaaS）分野をリードし、Stripeが決済処理分野をリードしてきた事例があります。
しかし、サイバーセキュリティの分野ではこのようなことはありませんでした。アプリケーションにセキュリティ機能を組み込むための単一の場所というものはありません。Pangeaが解決しようとしているのは、まさにこの点です。わずか数行のコードで、セキュリティを極めてシンプルに統合できるようにします。
PangeaがOktaとの協業を望んだ理由は何ですか。
Oktaは認証を明確に理解しており、開発者がアプリケーションで認証をどのように使用したいと考えているかを熟知しています。安全なアプリケーションはすべて認証から始まります。認証は、新しいクラウドアプリを構築する際に開発者が最初に記述するコードです。Auth0を擁するOktaの右に出るものはいません。しかし、開発者が認証を統合した後、次は何をすべきでしょうか。アプリケーションのセキュリティ確保は、認証だけでは終わりません。当然ながら、次のステップは、重要なセキュリティイベントをシンプルかつ改ざん防止が施された方法で記録するための監査ログです。PangeaのAPIとサービスは、業界をリードするOktaの認証プラットフォームを自然に拡張機能です。Pangeaは、開発者がアプリケーションにセキュリティを組み込む作業を完了するために必要な、サービスのロングテールを提供することで、Oktaを補完する存在だと考えています。まさに完璧な組み合わせです。
アプリケーションセキュリティ業界では、どのようなトレンドが予測されますか。
セキュリティ問題の根本原因であるコード自体を解決することにますます重点が置かれるようになり、サイバーセキュリティにおいて「シフトレフト」が大きなテーマになっています。これにより、コードのセキュリティ（静的および動的コード分析）やソフトウェアサプライチェーンのセキュリティ（SCA、SAST、DAST、SBOM）に特化した企業にとって、巨大な市場が生まれました。現在では、未加工のAPI自体のセキュリティ確保に重点を置く企業も多数見られます。
しかし、さらに左にシフトすることは可能でしょうか。あるいは、「シフトレフトのさらに先」を行き、開発者が初期段階から組み込める、信頼性の高いセキュアなコードのビルディングブロックのフレームワークをすぐに利用できるように提供することでしょうか。
この次の進化は、開発者がすぐに使えるセキュリティ機能をアプリのランタイムコードに直接埋め込むことです。これを「レフト・オブ・レフト」と呼んでいるのは、アプリの開発段階、つまりビルドフェーズよりもはるか前の段階にセキュリティを導入するためです。PangeaがSPaaSを導入したことで、開発者はアプリケーションを構築する際に、これを信じられないほど簡単に行えるようになりました。
Okta Venturesへの参加にご興味がありますか？こちらのよくある質問をご確認ください。また、Oktaチームへのお問い合わせや、ビジネスの審査依頼も随時受け付けております。
