セキュリティの自動化をどのように実装しているか

グプタ氏：インターネットが安全で、誰もがプロダクトを安全に作れる状況を実現したいと考えている。だが、われわれの仕事のペースを考えると、全てを手動ですることはできない。われわれは多くのことを自動化しており、Pyreがその好例だ。開発者がプログラムを作成していると、Pyreがバックグラウンドで動作し、開発者のために静的チェックを実施する。開発者は、知らないうちに静的型エラーを発生させてしまうことを心配しないで済むというわけだ。

　このようにセキュリティツールは開発の流れ（ワークフロー）と統合することが重要だ。

　開発者は以前、プログラムを書いたらセキュリティ専門家に渡し、手動でレビューしてもらっていた。あるいは、開発者は何らかのツールを実行し、プログラムにセキュリティの穴がないかチェックしていた。だが、これはあまりスムーズなやり方ではない。チェックの仕組みをワークフローの一部にしなければならない。現在、ほとんどの企業はそうしている。開発サイクルの後の方でセキュリティチェックが入るのではなく、開発サイクルにチェック機能が緊密に統合されている。

　「Osquery」も好例だ。このツールは業界で多くの人に使われている。主に、OSレベルのイベントをリレーショナルデータベース（RDB）に変換するものだ。こうしたイベントは全て、構造化データとしてRDBに格納されるので、SQLクエリを実行できる。こうしたイベントが構造化データに変換されなければ、ありとあらゆるログを取り続けなければならないだろう。それでは、こうしたイベントが発生するマシンで検知やフォレンジック（証拠保全）するのは非常に困難だ。

セキュリティを拡張する過程でどのような障害があったか

グプタ氏：障害に直面したとは考えていない。プラットフォームを使用するユーザーの安全確保が、われわれの責任だと理解している。それは私と私のチームにとって、自分の小ささを思い知らされる一方で、やる気を起こさせてくれる挑戦だ。

　拡張現実（AR）や仮想現実（VR）のような新しい分野でイノベーションを進めている。これらは、われわれが開拓している全く新しい分野だ。われわれはこうした分野のセキュリティについても投資を実施し、開拓する必要がある。Oculusは、われわれの仮想現実への取り組みの代表的な例だ。Oculusに関しては、ハードウェアに加えてOS、ブラウザも開発している。そのため、Oculusへの投資額は膨大であり、われわれはそのスタック全体のセキュリティを確保したいと考えている。

　われわれは優れたセキュリティ専門家に投資し、彼らはスタック全体をレビューして、エンジニアリング部門と密接に協力している。プログラムに目を光らせるだけでなく、私が言及した3つの側面全て、すなわちセキュリティの技術、プロセス、プログラムの側面にも目を配り、われわれがユーザーに提供する全てのものについてセキュリティ確保に取り組んでいる。