Cloudbase株式会社 Lead Product Engineer の佐藤 琢斗（さとう たくと）は思春期に音楽に夢中になってギターを購入したが、やがて演奏そのものよりもエレキギターの音色（おんしょく）を調整したり変化させる「エフェクター」いじりに熱中するようになった。
エフェクターは「ペダル」とも呼ばれ、ギターとアンプの間に接続し、演奏中に足で踏むことで音を歪（ひず）ませたり、やまびこのようなディレイをかけたり、音の硬さや柔らかさをコントロールする電子機器だ。エフェクターの底面にあるカバーのネジを回して裏蓋を取り外せば、オペアンプやコンデンサなど心臓部を構成する基板や部品を覗くことができる。子どもの頃から工作が大好きだった佐藤が分解しないはずなどなかった。
やがて佐藤はネットでエフェクターの回路図を入手すると、ハンダゴテを使ってコンデンサや抵抗を付け替えるなど、さまざまな改「良」を施すようになり、やがて少年にとって決して安価とは言えない部品を買い集めて、自作のエフェクター作りに手を染めるようになっていく。コンデンサの定数の変更や、オペアンプと呼ばれる長方形のチップを交換すると、アンプから飛び出す音の表情が毎回ガラリと変わって心が踊った。その変化を作り出したのが自分の手作業であることに身が震える興奮を感じた。
佐藤のプログラミングとの出会いは、情報系学部に進んだ学生時代。大学 2 年生の時に「質問箱」というサービスが当時の Twitter で話題になり、日本人の開発者がたった一日でそれを開発したと知って衝撃を受けた。それまでハードウェア寄りだった佐藤の関心は、これを境に Web サービスや Web アプリケーションなどのソフトウェア開発にシフトしていく。
大学卒業後、株式会社ディー・エヌ・エーに入社した佐藤は、2 年半という短い在籍期間の前半の 1 年をライブ配信サービスの開発メンバーとして、残りの 1 年半を新規配信サービスの開発チームに携わった。特に後半は専任のバックエンドエンジニアが佐藤 1 人という体制で、開発とシステム設計双方の力が何段階も鍛え上げられたという。
入社する前から佐藤は、何年かしたら DeNA を出てスタートアップ企業に移り、自分の腕にさらに磨きをかけたいと考えていた。そんな佐藤が出会ったのが Cloudbase 代表の岩佐晃也だった。ビジネスはもちろん最重要だが、しかし、それと同じくらい Cloudbase というプロダクトを作ってそれを使う人の毎日を変えたり、なんなら今より幸せにすることを自らの喜びとしたい。岩佐に、自分と相通じる考えや動機を感じた佐藤琢斗は、Cloudbase が第一号顧客であるスズキを獲得する直前の時期に開発メンバーとして同社に加わった。
佐藤が最初に取り組んだのは、クラウドのリソース全体を資産台帳のように可視化して管理する機能の開発だった。何しろ当時の Cloudbase は、全く優しくない言い方をすれば「ただの AWS の設定ミス検出ツール」にすぎなかったから、佐藤にとっては、あの機能を追加したい、この機能を拡充したい、そんな可能性の塊だった。
現在に至るまでの、プロダクトとしての Cloudbase の進化は、大きく 4 つのフェーズに分けてふり返ることができる。
第 1 フェーズは主に AWS の設定ミス検出に対応する、いわゆる CSPM（Cloud Security Posture Management）機能の段階。
第 2 フェーズでは CVE 等の脆弱性検出にも対応範囲を広げ、CWPP（Cloud Workload Protection Platform）領域へと踏み出した。これによって、CSPM から CNAPP（Cloud Native Application Protection Platform）製品へと進化を遂げる。
第 3 フェーズで「即時対応リスク」機能が加わった。従来のコンプライアンスベースのリスク検出から、サイバー攻撃につながるか否かといったリスクベースでの絞り込み表示へと発想を転換し、「今すぐ対応すべき脆弱性や課題」が一目でわかる機能を実装した。脆弱性の優先度の判定には米 CISA も採用するフレームワーク「SSVC」が用いられている。
そして直近の第 4 フェーズでは、CNAPP という枠組みのさらに先、オンプレミス環境を含む脆弱性管理へと対応範囲を拡張している。オンプレミス対応については「Cloudbase Sensor」と呼ばれるモジュールを新規に開発し、FortiGate をはじめとする各種ネットワーク機器の脆弱性スキャンにも対応した。このように Cloudbase は、クラウドとオンプレミス双方を含むインフラ資産全体を可視化するプラットフォームへと進化を続けている。
ここまで来るともはや“Cloud”base というサービス名称が窮屈に感じられる。もはやその名にある「クラウドだけ」に特化したサービスでは全く無いからだ。かといって「オンプレ／クラウドベース」ではダサすぎる。いずれは、貨物輸送会社として創業した American Express が、現在はクレジットカードブランドとして知られているように、「事業とブランド名称が必ずしも一致しないがユーザーはさして違和感を持っていない」、そんな不思議なサービスになる未来があるかもしれない。
リードエンジニアの佐藤は、営業担当に同行して顧客と話をするのが大好き。新しい機能の説明や、さまざまな悩みや課題の相談を受けることで、それを解決する最高に冴えたやり方を考え考えしながら仕事を続けて、ふと気づいたら現在の Cloudbase ができあがっていたという。
あくまでも、大企業が DX に取り組んで AWS 等を使う際に設定ミスが起こってしまう、という問題に向き合って Cloudbase が生まれた、という順番であって、Gartner 的な調査会社が「 CSPM 」という製品カテゴリーを新設したようだから、おそらく今後 5 年は企業の予算がそこに流れ込むことが見込めるので、じゃあいっちょう我が社もそのよく知らんけど CSPM とやらをどこぞから持ってきてワッショイワッショイ担いで一儲けしよう。そういう通常のビジネスがたどる順番と Cloudbase は全く違う別物であることをここに粘着的に書き記しておきたい。言うまでもなく Cloudbase は日本にはあまり多くない、完全自社開発の国産サイバーセキュリティプロダクトである。
戦後の無頼派作家、坂口安吾のエッセイに「ドライアイス工場の美」について触れた一節があって、正確には「ドライアイス工場」「小菅刑務所」「駆逐艦」の美についての考察なのだが、工場、刑務所、軍艦という、およそ美とはかけ離れたものに作家は強く心惹かれ、あまつさえ「頭抜けて美しい」とすら感じたのだが、それはなぜかと思案して行き着いた答えは、これら 3 つはいずれも「見るものから美しいと思われたい」という気持ちで置かれた一個の部品も、一本の柱も、壁も煙突も無いからだと結論する。ドライアイスの製造なり、それぞれの目的を果たすために必要なものだけが集められて、そこ以外ない必要な場所に置かれることで完成した工場であり建築であり兵器である。佐藤琢斗の話を聞いていてふと安吾のこのエッセイを思い出したのは「この時期に CSPM 製品を投入すれば市場に受けるだろう」といったマーケティング的な色気よりも、顧客の必要に応えることで進化してきたプロダクト、という共通点があるからだと思う。
機能の進化だけではなく Cloudbase は、主要ユーザー層とする日本の大企業に合わせて、サービス面でも独自の進化を遂げた。佐藤琢斗は「 Cloudbase はソフトウェアではない」とまで取材で言い切った。そのこころは、検出された脆弱性等を実際に修復するところまでユーザーが行けるように、マニュアルや参照情報などのコンテンツを充実させ、結果が出るまで支援を惜しまないサービス体制こそが Cloudbase の存在意義だということだ。Cloudbase にはカスタマーサポートのチケット起票数に毎月の上限が存在しないが、この制度設計自体、その覚悟を物語っている。
かつて Cloudbase株式会社 代表の岩佐晃也は本誌の取材に答えて「五合目までは（ Cloudbase ユーザーを）エスカレーターで連れていくので、あとは自力で（セキュリティ運用の）頂上を目指してほしい」という趣旨の発言をしたが、いずれはユーザーにセキュリティの領域で自走してほしいと同社は思っている。
「自分が入社したときには、Cloudbase が 4 年後、こんな展開を遂げているとはまったく想定していませんでした」と佐藤は語った。28歳の佐藤琢斗がいま開けているのはエフェクターの裏蓋ではなく Cloudbase というプロダクトだ。ユーザーが求める音色（おんしょく）を探してこれからも回路を変え続ける。Cloudbase というプロダクトにはロマンと夢、ものづくりの快楽がある。
