| # |
質問 |
回答 |
| 1 |
REST API や IaC（YAML）にあまり慣れていないチームでも、自動化の設計・実装を進めるための学び方や教育のコツはありますか？
|
記述とAIを上手く使い分けることが肝要と思います。AIでコード生成は可能ですが、善し悪しが判断できる程度の読解力やコード設計の力は必要。そのため、最初は簡便なコードを書いてみて、記載内容の善し悪しなどについてチーム内で議論すると良いです。
|
| 2 |
ユーザーフレンドリーなポータルを作るための工夫は何かされていますか？
|
資料中にもありますが、UIやUXのデザインという概念自体は共有しました。当然、利用者や利用する処理により、善し悪しの基準は変わりますので、画一的な基準は設けていません。ただし、以下の観点で複数名の確認は挟むようにしています。
・入力項目や入力内容の導線が見やすいか
・入力内容に迷わないガイドが記載されているか
・エラー発生時に利用者にしかるべきメッセージが出力されているか
・エラー時に利用者側がネクストアクションを取れるメッセージか、等
|
| 3 |
既存チームや他部署を巻き込みながら、自動化やポータル化の優先順位をどうやって決めていきましたか？合意形成のポイントが知りたいです。
|
まずは、発生頻度と1回あたりどの程度作業時間を要しているかを伺い、そこに私達の実装難易度を加味して優先度を決定しました。
発生頻度が高くかつ1回あたりの作業時間が長いものであっても、実装にあたり既存業務の見直しなどで実装完了までに時間がかかるのであれば、優先度下げて他のものから構築する等もありました。
利用者に触っていただくことが肝要と思い、なるべく直ぐに実装してリリースできるものを優先してます。（触っていただいてイメージを掴んでいただけると、その後の調整も楽になるため。）
|
| 4 |
現場のマインドセットを変えるところが一番大変そうに感じました。抵抗感の強いメンバーとどう向き合い、どのように意識変化を促していきましたか？
|
基本的には動くものを実際にご利用いただいて、価値を実感していただくという形を取りました。
また、抵抗感の元がどこにあるのかは、探りました。忙しいのか？あるいは、プロセスを変えることそのものに不安があるのか？など。
単純に忙しい場合は、実装を私達で実施する旨で、理解いただけますが、後者の場合は実装に入る前に、既存プロセスのヒアリングを行い、変更案もこちらから提示するなど、単に作るだけではないよという姿勢を見せるようにしました。
|
| 5 |
コンフル／JSMはチーム｜部署｜TIS全体で契約している？（TOBEでコンフルとJSMは同じ契約？）
コンフル／JSMを外部からのアクセスを守るためにしていることは？（IPアドレスのホワイトリストなど？）
|
弊社内で複数部門がアトラシアン様の製品をご利用しておりますが、会社で一括の契約は行っておりません。
私たちが利用しているJira Service ManagementとConfluenceは私の所属する部署で契約しております。
また、外部からのアクセスに対してのセキュリティですが、接続元IP制御はかけております。また、管理者権限ユーザについては、多要素認証を設定しております。もっと詳細にセキュリティ設定を施したい場合は、別ライセンスとなるAtlassian Guardをご検討ください。
|
| 6 |
ポータルは具体的にはどうやって作るのでしょうか？
|
Jira Service Managementの用語でお伝えしますと以下の通りです。
【画面部分】
・カスタムフィールドを作成
・スペース内でリクエストタイプを作成（カスタムフィールドも使用）
【API発行部分】
・自動化ルールで、作業項目作成時（リクエスト作成時）をトリガーにルールを作成。ルール内でAPI発行。
|
| 7 |
本番環境の作業をリモートで実現できることは大きなメリットと考えていますが、セキュリティ面で何か障壁はなかったのでしょうか。
たとえば、本番環境からのファイル取得などです。
挙げられた要望のうち、問題なしと判断されたものを実装するから、とくに懸念はないでしょうか。
|
まず、業務データが含まれるようなものは原則NGとしています。
業務データが含まれる可能性があるが、Ansible内に機械的な処理を実装し、除去可能であれば、そのような処理を噛ませたうえで取得を許可しています。
そのため、原則セキュリティのレギュレーションに則る形で処理の連携をしています。どちらかというと、上記の内容をセキュリティ管理者に説明するのが大変でした。
|
| 8 |
今回のように自宅から本番のログを取得できるようにしたとしても、PCI DSS準拠のままと評価されるのでしょうか？またPCI DSS準拠を必要とするお客様には、本対応を実施する上で了承を頂いたりしたのでしょうか。
|
誤解を与えたかもしれませんので、改めて記載致します。
1.「自宅から」というのは、自宅のPC（私物PC）なのか
自宅（私物）PCではなく、ゼロトラスト構成のPCであったり、社内什器から、社内NWを経由し、インターネット接続でJira Service Managementを利用致します。上記のため、あくまで「社用PC上から本番業務データを含まないログ情報を、リモート参照できる状態」というのが正です。
2. 上記状態でPCI-DSS認定されるのか
PCI-DSS準拠に際し、持ち出し不可の情報については、セルフメニューとして実装しておりません。
3. 本対応を顧客了承いただいているのか
Jira Service Managementからチケット起票などを行うお客様もおりますのでご説明しております。
|
0 comments