私たちはオープンソースソフトウェアセキュリティ動員計画を受け入れる準備ができているでしょうか？

現在の経済状況と脅威の状況を考えると、平均的なCISO（最高情報セキュリティ責任者）の立場は決して羨ましいものではありません。彼らは安全性、コンプライアンス、イノベーション、そしてビジネス価値の提供を求められる一方で、予算の削減や監視の強化という厳しい現実に直面しています。さらに切実なのは、すべての組織（およびその開発チーム）のセキュリティ成熟度がまちまちであり、サイバー防御の面で万全の体制を整えられている組織ばかりではないという事実です。

ここ数年、サイバーセキュリティインシデントが激化しており、セキュリティリーダーが一歩先を行くことは非常に困難になっています。増大する危機に関するデータを見ると、まさに火薬庫のような状況が浮かび上がります。2023年だけで330億件以上の記録がサイバー犯罪者によって盗まれると予測されており、これは2018年から175%の増加です。また、サイバー犯罪によるコストは2025年までに10.5兆ドルに達すると予測されており、データ侵害の平均コストは424万米ドルにまで急騰しています（EquifaxやSolarWindsのような事例を見れば、被害がはるかに深刻になる可能性があることは明らかです）。

業界全体として、私たちは長い間、10年前には想像もできなかったほどの力を持つサイバー犯罪の脅威から救い出してくれる「ヒーロー」を待ち続けてきました。より多くのセキュリティ専門家が参画し、セキュリティプログラムの基準を引き上げてくれることを期待していますが、このギャップを埋めることはできません。また、増大するリスクを自動化で解決してくれる「魔法の杖」のようなツールを待ち望んでいますが、そのようなものは存在せず、今後も現れる可能性は極めて低いでしょう。私たちは、ダークサイドと戦うためのルーク・スカイウォーカーを待ち続けているのです。

しかし、「オープンソースソフトウェアセキュリティ動員計画」という形で、救い（そして希望）がもたらされようとしています。ただし、私たちは皆、立ち止まって自組織の成熟度を冷静に評価する必要があります。組織として、そして開発チームが、最新かつ最高の防御戦略を実装するためのセキュリティ意識とスキルを十分に備えているのか、特に開発チームによるサポートと実行が求められる場合に、見極めなければなりません。

「オープンソースソフトウェアセキュリティ動員計画」とは何か？

この10項目の計画は、OpenSSF（Open Source Software Foundation）とLinux Foundationが主導し、ホワイトハウスの当局者、トップクラスのCISO、そして37社の民間テクノロジー企業の幹部らと連携して策定されました。行動と資金の両面におけるこの強力な支援により、オープンソースソフトウェアのセキュリティ基準は大幅に強化される見込みです。

特に興味深いのは、開発者レベルでの基礎教育と認定、そしてソフトウェア部品表（SBOM）活動を効率化するための対策に重点を置いている点です。これらは、組織のセキュリティプログラムにおける成長痛や、開発者側のセキュリティ成熟度の一般的な不足（彼らの責任ではありませんが）が原因で、永続的な効果をもたらすような実装が難しいことで知られています。開発者は、不合理な締め切りが迫る中、スピードとコード量が最優先される過酷な環境に置かれています。セキュリティ対策やSBOMの維持管理といったタスクを、時間を増やすことなく追加することは、失敗を約束するようなものであり、残念ながら、私たちが想像する以上に頻繁に起こっています。

それでは、その中身を詳しく見ていきましょう。

開発者向けのセキュリティ認定：準備は整っているか？

確かなことが一つあるとすれば、セキュリティスキルを持つ開発者は依然として希少な存在だということです。これにはいくつかの理由がありますが、最大の理由は、つい最近まで組織内のソフトウェアセキュリティ戦略において、開発者が考慮されてこなかったことにあります。それに加えて、開発者がセキュリティを優先する理由がほとんどない（トレーニングが不十分または存在しない、時間がかかる、KPIに含まれていない、彼らの最大の関心事は機能構築である）という現状が重なり、開発チームはコードレベルでのセキュリティ対応や、現代的なDevSecOps中心のソフトウェア開発ライフサイクル（SDLC）における役割を果たす準備ができていないのです。

「オープンソースソフトウェアセキュリティ動員計画」の10項目のうち、最初のストリームは開発者のセキュリティスキル向上であり、「すべての人に基礎的なセキュアソフトウェア開発教育と認定を提供する」ことを掲げています。これは開発チームのセキュリティ成熟度を高めるために不可欠です。彼らは、セキュアコーディングが大学レベルのソフトウェア工学コースのほとんどで欠落しているという、私たちが長年議論してきた問題を指摘しています。業界の現状を変える力を持つ個人や部門がこれを支援していることは非常に心強く、世界のソフトウェアの99%が何らかのオープンソースコードを含んでいることを考えれば、この開発領域は開発者のセキュリティトレーニングに注力する絶好の出発点となります。

この計画では、OpenSSF Secure Software Fundamentalsコースや、OWASP Foundationによる長年にわたる広範なリソースなど、高く評価されている情報源が引用されています。これらの情報ハブは非常に貴重です。開発者のスキルアップのためにこれらの教材を普及させる計画には、官民の幅広いパートナーネットワークを結集することに加え、教育機関と連携してオープンソースのセキュア開発をカリキュラムの主要な要素にすることが含まれています。

セキュリティは自分の仕事や優先事項ではないと教え込まれてきた世界中のソフトウェアエンジニアたちの心をつかむために、この計画では、オープンソースライブラリを保守する開発者と、セキュリティ認定の価値を理解する必要がある現役エンジニアの両方をターゲットにした、報酬と評価の戦略が詳細に示されています。

経験上、開発者はインセンティブにうまく反応することがわかっています。進捗やスキルを示す段階的なバッジシステムは、学習環境においても、SteamやXboxのようなプラットフォームと同様に効果的です。

しかし、懸念されるのは、組織のセキュリティプログラム内での学習モジュールの提供という核心的な問題に対処できていない点です。キャリアの大半を開発者と密接に仕事をしてきた経験から、彼らがツールやトレーニング、ましてや最優先事項である業務を中断させるようなものに対してどれほど懐疑的であるかはよく知っています。開発者の能力向上には、継続的な教材への取り組みが必要であり、成功させるためには、日々の業務の文脈において意味のあるものでなければなりません。

確立された成熟度モデルであるSoftware Assurance Maturity Model（SAMM）を考慮すると、「教育とガイダンス」はガバナンス層の主要な構成要素であり、開発者教育に重点が置かれています。モデル全体は非常に広範で、成熟度を高めるための段階的なステップが存在します。しかし、初期段階では開発者に対してわずか1〜2日の正式なトレーニングしか推奨されておらず、これではセキュリティ意識の表面をなぞる程度にしかなりません。それにもかかわらず、最近のEnterprise Strategy Group（ESG）のレポートによると、開発者に年1回以上の正式なセキュリティトレーニングを義務付けている組織は半数以下です。Evans Dataと共同で行った私たちの調査では、脆弱性のないコードを書くという実践を優先すべきだと考えている開発者はわずか29%でした。脆弱性教育の提供方法と受け取り方、そしてそれがセキュリティ成熟度をもたらす上でどれほど有用かという点には、明らかな乖離があります。特に開発者がその価値を実感できていない場合はなおさらです。

ソフトウェア部品表（SBOM）：この計画は導入の障壁を打ち破れるか？

この計画が取り組もうとしているもう一つの課題は、ソフトウェア部品表（SBOM）の作成と維持をめぐる混乱です。「SBOM Everywhere — SBOMのツールとトレーニングを改善し、導入を促進する」というストリームでは、開発者や組織がSBOMを作成、更新、活用し、より優れたセキュリティ成果を達成しやすくするための方法を検討しています。

現状では、SBOMは多くの業界で広く普及しておらず、セキュリティリスクを低減するという本来の可能性を十分に発揮できていません。この計画には、SBOM策定の主要な基準を定義し、開発者のワークフローに適合した作成ツールを提供するという優れた戦略があります。これだけでも、需要に応じたスピードでソフトウェアを開発するために多忙を極める開発者にとって、SDLCの新たなタスクという負担を大幅に軽減できるはずです。

しかし懸念されるのは、一般的な組織において、セキュリティの責任の所在が開発者にとって曖昧になりがちだという点です。最終的な責任はセキュリティチームにありますが、開発者の協力を得るには彼らを巻き込む必要があります。タスクと期待値を明確に定義し、これらの追加的な対策に取り組むための時間を確保しなければなりません。

OSSからソフトウェアの世界全体へ

オープンソースソフトウェアセキュリティ動員計画は野心的かつ大胆であり、開発者のセキュリティに対する責任感を高めるためにまさに必要なものです。強力なプレイヤーたちが「反乱同盟軍」のように結集したことは、私たちが正しい方向に進んでおり、サイバーセキュリティ人材の不足が自然に解消されるという考えを捨て去ったことの証明です。

これは私たちの新たな希望であり、この枠組みをOSSの枠を超えて推進するには、私たち全員の力が必要です。しかし、セキュリティ専門家は自らを見つめ直し、自身が保護を任されているコードを扱う開発チームを分析しなければなりません。現在の能力とギャップを正直に評価し、堅牢で先を見越した、開発者に真のセキュリティスキルを授けるプログラムを組み込んだ成熟した状態を目指す必要があります。開発者が有意義な形で支援されない限り、コードレベルの脆弱性に対する私たちの取り組みは、まだ未熟なままかもしれません。

‍

>> 実践的でインタラクティブな XSSチャレンジで、チームのセキュリティ成熟度をテストしましょう！