サイバーセキュリティの未来：来年起こらないこと

この記事は Dark Reading に掲載された記事を基に、転載用に更新したものです。

業界の多くのセキュリティ専門家が、翌年の注目すべき課題を予測することを習慣としています（私も例外ではありません）。しかし、2019年には50億件以上の機密データが流出したという事実を踏まえると、2020年、あるいは近い将来のサイバーセキュリティにおいて、起こらないことを予測する方が正確ではないかと考えました。

共同創業者のマティアス・マドゥと共に、笑いを交えながらこのリストを作成しました。少し肩の力を抜いた見通しではありますが、あらゆる組織を悪意あるサイバー攻撃から守るために、まだ長い道のりが続いていることを改めて考えさせられます。

それでは、水晶玉を覗き込んで予測を明らかにしましょう。私たちが目にすることはないであろう事柄は以下の通りです。

すべてのソフトウェアからSQLインジェクションが根絶されること

世界中のセキュリティ専門家が、SQLインジェクションのバグ特定という終わりのない作業から解放される日を待ち望んでいるはずです。

悲しいことに、私たちは20年以上もこの日を待ち続けており、少なくともあと1年は待つことになるでしょう。これは、ゴキブリのように、これまであらゆる根絶策を生き延びてきた脆弱性なのです。

解決策がほぼ同じ期間知られていることを考えると、もどかしい限りです。しかし、ソフトウェア開発のあらゆる段階（特に最初から）でセキュリティのベストプラクティスを優先する姿勢は依然として低く、SQLインジェクションが発見されて以来の膨大なコード生産量を考えると、明らかに不十分です。

（SQLインジェクションにつながるコーディングパターンについて詳しく知りたいですか？こちらのチャレンジに挑戦してみてください）。

開発者とAppSecチームが親友になること

ああ、開発者とAppSecチーム。彼らが仲良くなる日は来るのでしょうか、それともロッキーとアポロのように永遠のライバル関係なのでしょうか？結論から言えば、仲良くなることは可能ですが、現時点では両者の優先順位が大きく異なることがほとんどです。

プロジェクトの現場で両者が顔を合わせる時、彼らは全く異なる視点を持っており、最後のハードルで衝突します。それは、AppSecの専門家が開発者のコードを精査する時です。開発者は美しく機能的な機能（彼らの最優先事項）を作り上げますが、セキュリティの脆弱性が見つかるとそれが台無しにされてしまいます。ソフトウェアセキュリティの専門家は、実質的に彼らの「子供」を醜いと呼び、バグの修正を強いることで、しばしばデプロイを遅らせることになるのです。

現状では、開発者とAppSecチームが「セキュアなソフトウェアを作る」という共通の目標に向かって取り組まない限り、この問題は解決しません。2020年にこれが標準的なプロセスになることはないでしょう（多くの企業では、その後数年経っても難しいはずです）。しかし、DevSecOpsムーブメントの到来などにより、開発者はセキュリティスキルの向上と、より高い基準での開発の必要性を認識し始めています。その基準には、最初からセキュリティ目標を組み込むことも含まれています。

セキュリティ専門家が供給過多になること

2020年、2025年、2030年……世界的にセキュリティ専門家が不足することは、ほぼ間違いありません。

ISC(2)のレポートによると、現在約293万人のサイバーセキュリティ人材が不足しています。この状況は改善される前にさらに悪化することは確実であり、今後数年で私たちを救いに来てくれる隠れたセキュリティ軍団など存在しません。

近い将来、このスキル不足に対処する最善の方法は、セキュリティを組織の優先事項とし、既存の従業員のスキルを向上させることです。つまり、開発者がセキュアにコーディングするためのトレーニングとツールを提供し、全社的なセキュリティ文化を醸成することです。現在のAppSecチームの多くは、おそらく既知の古いセキュリティバグとの戦いに追われています（前述のポイント1を参照）。彼らがこうした一般的な問題の修正に貴重な時間と労力を費やす必要がなくなれば、より困難なセキュリティ課題（現時点では、API関連の問題や、開発パイプラインに適合するツールの構築など）に集中する余裕が生まれるはずです。

コードの生産量が減ること

世界は驚異的なスピードでデジタル化が進んでおり、社会の需要が揺らぐことはありません。毎年約1110億行のコードが書かれており、この数は増え続け、すでに手一杯のAppSecチームにとっては恐ろしい状況になるでしょう。

コード量の増加は必然的に潜在的なセキュリティ脆弱性を増大させるため、2020年がソフトウェア生産や侵害にとって穏やかな年になると考えるのは、競馬の祭典グランドナショナルでユニコーンレースが開催されると信じるのと同じくらい非現実的です。

データ漏洩件数の減少

前述の通り、コード量が増えれば脆弱性も増え、攻撃者がデータを盗む隙もそれだけ多くなります。

2019年には世界中で少なくとも53億件のデータが盗まれました。攻撃者に対する防御は、依然として場当たり的で後手に回っているのが現状です。今後1年でこの数字が倍増することはないかもしれませんが、それに近い水準に達するだろうと私は見ています。

例として、米国におけるデータ漏洩報告件数の年次推移を見てみましょう。

2005年から2010年にかけての期間を見ると、多少の増減はあるものの、全体としては着実な増加傾向にあります。興味深いのは、2009年には2008年と比較して報告された侵害件数が急減している点です。しかし、侵害件数が減ったにもかかわらず、盗まれたデータ件数は明らかに増加していました。

データは現代の金（ゴールド）であり、攻撃者にとって価値のあるものです。このグラフは、侵害件数と盗まれたデータ件数の全体的な上昇傾向を示しており、2017年には大きなピークを迎えています。2018年には、おそらくセキュリティ対策の強化により攻撃件数は減少傾向に転じましたが、盗まれたデータ件数は過去最高を記録しました。サイバー攻撃は今後ますます巧妙化・大規模化し、すぐになくなることはないでしょう。企業がかつてないスピードでソフトウェアを量産し続ける中、2020年に世界的な減少傾向が見られる可能性は低いと言えます。企業はデータの門番として、プライバシー保護のために今以上に賢明な対策を講じる必要があります。

開発者が求める、より長く頻繁なビデオベースのセキュリティトレーニング

開発者が大好きなものがあるとすれば、それは何時間にも及ぶコンピュータベースのトレーニング（CBT）ビデオを見ることでしょう。実際、この魅力的なコンテンツへの需要は非常に高く、Netflixが汎用的なセキュリティトレーニングビデオ専用の新しいサブカテゴリを発表するほどです。

……なんてことはありません。今も、2020年も、これからもあり得ない話です。

開発者にとって、セキュリティとの最初の出会いは、多くの場合、職場でのコンプライアンス研修です。高等教育でセキュアコーディングを学ぶ機会はほとんどなく、ソフトウェアセキュリティに初めて触れるのが実務研修というケースも珍しくありません。当然のことながら、彼らの多くはこうした研修を好ましく思っていません。

開発者にセキュリティを真剣に考えてもらい、トレーニングを実用的なものにするには、彼らの業務に関連性があり、魅力的で、文脈に沿った内容である必要があります。一度きりのコンプライアンス研修や、退屈なビデオを延々と見せるようなやり方では、開発者の心には響かず、脆弱性を減らすこともできません。

開発者チームを、一般的な脆弱性に対するセキュリティ意識の高い防御部隊に育てたいのであれば、日々の業務で遭遇するような実際のコード例を扱わせるべきです。学習内容を細分化し、積み上げやすくし、楽しさを感じられるようなインセンティブを与えましょう。セキュリティ文化を根付かせるには、組織全体で前向きかつ魅力的な取り組みを行い、真のスキルと解決策を育むことが不可欠です。

もしかすると、適切なトレーニングを受けることで、開発者自身がセキュリティの重要性に目覚め、セキュアコーディングの利点を広く普及させてくれるかもしれません。

サイバーセキュリティ関連のインシデントによる死者ゼロ

これは決して笑い事ではありません。サイバー攻撃に関連するインシデントで人が亡くなり始めるまで、世界はサイバーセキュリティを真剣に考えないだろうと、私は何度も言ってきました。

問題は、すでにそれが起こっており、ほとんど注目されていないということです。

米国の病院に対するサイバー攻撃が、2019年の心臓発作による死亡率の上昇に関連しているという指摘があります。もちろん、攻撃者が直接患者を心臓発作に追い込んだわけではありません。しかし、病院のシステムや機器に対するランサムウェア攻撃が、救急医療の対応時間を遅らせたのです。

セントラルフロリダ大学によるこの研究では、3,000の病院を分析し、そのうち311の病院でデータ侵害が発生していたことが判明しました。セキュリティインシデントの影響を受けた病院では、心臓発作の疑いがある患者への心電図検査の実施が平均で2.7分遅れていました。これは、手順の変更や新たに導入されたセキュリティ対策、ITサポートの問題などが以前よりも時間を要するようになったためと考えられます。心臓発作の診断と治療は時間との戦いであり、これらの病院では年間1万件の心臓発作あたり平均36人の死者が増加していました。

これは衝撃的な事実であり、残念ながら事態は改善する前にさらに悪化するだろうと私は考えています。これは、ソフトウェアセキュリティを向上させ、あらゆるビジネスにおいて最優先事項にするために、私たち全員がもっと努力しなければならないという厳しい警告として受け止めるべきです。

「フードを被ったハッカー」のストックフォトを減らす

画像検索で「ハッカー」と入力すれば、フードを被って顔の見えない人物がノートパソコンに向かっている画像や、ガイ・フォークスの仮面をつけた人物の画像が何千枚も出てくるのは避けられません。

こうしたハッカーのステレオタイプなイメージはもう飽き飽きですし、何より誰もが悪人のように見えてしまいます。セキュリティの分野には善良な男女がたくさん存在しており、「ハッカー」という言葉に付きまとうネガティブなイメージは、誰にとってもプラスにはなりません。
すぐに状況が変わるとは思えませんが、夢を見るのは悪くないでしょう。今のところ重要なのは、セキュリティは怖いものではないということを忘れないことです。