2024年の展望：セキュリティ、AI、開発者の定着、そして今後の道のり

今年もこの時期がやってきました。この1年を振り返り、予想通りだったこと、そうではなかったこと、学んだ教訓、そして今後12ヶ月の意思決定や行動、成果を左右するであろう要素について考える時期です。

厳しい経済情勢、新たなサイバーセキュリティの脅威、そして社会にとってこれまでで最も身近なAIの登場が、DevSecOpsにとって興味深い2023年を形作りました。さらに興味深いのは、2024年を迎える今も、これらの要素が過去のものにはなっていないという点です。これらは組織、開発者、セキュリティチーム、そして政府規制当局にとって、依然として最優先の課題となっています。

優先事項が急速に変化する中、Secure Code Warriorが今後12ヶ月で展開されると予測するトップトレンドは以下の通りです。

組織は開発者のリテンション（定着）を最優先する

開発者は組織とその顧客に多大な価値をもたらします。今、組織にはその価値を認め、開発者が収益に貢献できることを評価することが求められています。開発者が現在の雇用主を長期的なキャリアの目的地として選べるよう、リテンション戦略やプログラム、その他の取り組みへの投資がさらに強化されるでしょう。学習と能力開発は、企業にとって大きな差別化要因となります。

開発者への要求増加により、コンテンツと統合が中心的な役割を担う

組織がより多くのソフトウェアを求め、顧客への迅速な提供を目指してデジタル変革を継続する中、開発者へのプレッシャーは今後も弱まることはありません。開発者が常に高いスキルを維持し、ソフトウェア開発ライフサイクル（SDLC）における新たな障害を予測し、イノベーションを加速させるためのリソースを活用できるようにするには、学習コンテンツやサードパーティとの統合が極めて重要になります。

AIツールが新たなStack Overflowになる

開発者が助けを求めてStack Overflowやオープンソースフォーラムを利用するのと同じように、今後はAIツールに頼るようになるでしょう。しかし、これは誤った安心感を生む可能性があります。開発者はAIを「ヘルプチャンネル」として利用しますが、組織はそれだけでは不十分であることに気づくはずです。

AIによる修正は定着する

AIがすぐに開発者に取って代わることはありませんが、ソフトウェア開発ライフサイクル（SDLC）への組み込みは進んでおり、脆弱性の混入を防いだり、適切な修正案を特定したりするための、より確実なプロセスが構築されつつあります。今年一年を通じてさらなる実験が行われ、それが必然的に開発者の行動変容、組織の投資、人員配置の再考、そしてサイバーセキュリティリスク管理への新たなアプローチをもたらすことになるでしょう。

AIへの依存とAPIの爆発的増加が規制措置を招く

APIの迅速な作成と活用によってビジネスを推進する企業が増えたことで、APIの脅威ベクトルは大幅に拡大しました。AIの活用によりAPIの作成とリリース速度が飛躍的に向上する傾向があるため、APIセキュリティに対するガバナンスの強化が不可欠となり、新たな規制措置が導入されることは確実です。

セキュアなコードを出荷しないソフトウェアベンダーへの責任追及が強まる

CISAのJen Easterly長官は、ソフトウェアベンダーが自社製品のセキュリティに関して「責任転嫁」をすることは許されないと明言しています。CISAの権限は連邦機関に販売するベンダーへの「Secure-by-Design（設計段階からのセキュリティ）」の実践を促す範囲にとどまりますが、今年初めに発生したMOVEit事件は、大手ソフトウェアベンダーが新たな基準を満たし、それを超える必要があることを再認識させました。セキュアでないコードを出荷し続ける常習的なベンダーに対しては、より厳格な説明責任と制裁措置が求められます。

2024年のOWASP Top 10では、設計上の欠陥に再び焦点が当てられる

「Secure-by-Design（設計段階からのセキュリティ）」に関連して、OWASPは2021年に「Insecure Design（安全でない設計）」というカテゴリを導入し、アーキテクチャ上のセキュリティ課題や欠陥へのシフトに焦点を当てました。次回のTop 10リスト（2024年発表の見込み）に向けて、今後は「安全でない設計」と「安全でない実装」の違いについて、経営層レベルでの議論が活発化するでしょう。特に、重要な認証やアクセス制御の設定を支える包括的な脅威モデリング手順を含め、セキュアなソフトウェア開発ライフサイクル（SSDLC）を構築するチームの重要性が強調されるはずです。

DevSecOpsベンダーは、多様な経営層の購買担当者に向けて、具体的な投資対効果（ROI）を証明する必要がある

競争の激しい販売サイクルの中で複数のグループに売り込むには、ビジネスの各領域に合わせて対話の内容を調整する必要があります。これまでセキュリティベンダーは主にCISOやセキュリティ部門のリーダーを対象としてきましたが、2024年は、セキュリティ部門やCISOだけでなく、L&D（人材開発）やDevOps/AppSecの責任者に対しても、より具体的な文脈でリスク低減を証明する能力が求められるようになるでしょう。

「ゲートキーピング」がソフトウェア開発におけるセキュリティ成熟度への鍵となる

CISOは、サイバーセキュリティの取り組みがもたらすビジネス価値や、プログラムの長期的な有効性を証明するよう引き続き厳しく求められています。開発者には、機密性の高いリポジトリを扱うプロジェクトを任される前に、セキュリティ意識を備えていることの証明がますます求められるでしょう。「ゲートキーピング」の基準を採用し、ソフトウェア開発の初期段階からセキュアコーディングを優先するCISOこそが、チームをセキュリティの卓越性へと導くことができます。

事後対応型のセキュリティは「時代遅れ」と見なされるようになる

サイバーレジリエンスの向上があらゆる業界の戦略において最優先事項となる中、事後対応やインシデント対応のみを計画の柱とする組織は、許容できないレベルのリスクにさらされることになります。「シフトレフト」は、もはや古びた流行語であってはなりません。私たちが日常的に利用するソフトウェアや重要なデジタルインフラを支える開発者のスキル向上と能力検証に加え、コードレベルのセキュリティを優先すべきです。今こそ政府や企業は、全スタッフが責任を共有できる、予防的で意識の高いセキュリティプログラムに真剣に取り組む必要があります。

セキュアコーディング教育と実装のリーダーとして、私たちは来るべき年に向け、600社を超えるお客様と協力してこれらの変化を先取りできることを楽しみにしています。あなたの2024年はどのような年になりますか？Secure Code Warriorがどのようにお手伝いできるか、ぜひご相談ください。

詳細をご希望ですか？XやLinkedInをフォローして、最新情報をご確認ください。