貴社の開発者はリスクの最前線にいますか、それとも防御の要ですか？当社のセキュアコーディングチェックリストで貴社の現状を評価してみましょう。

公共・民間を問わず、あらゆる組織において確実と言えることが2つあります。第一に、製品やサービスがますますデジタル化しており、ソフトウェア開発者がコードを記述する機会が増えていること。第二に、こうしたデジタルビジネスは、よりダイナミックでグローバルな環境下で、既存および新規の競合他社からの圧力にさらされていることです。

このような環境において、CIOは新たなイノベーターとして、権限と影響力を持つ立場にあります。しかし、市場投入までのスピード向上、品質強化、柔軟性の拡大という強い圧力により、開発チームは複雑かつ分散化しています。その結果、機能や仕様の迅速な開発が優先され、生じうる脆弱性への認識が疎かになりがちです。

今こそ、新しい働き方が求められています。Equifaxが最近経験した情報漏洩による壊滅的な被害は、セキュアではないコーディングの結果でした。CIOやCISOは、自社の開発チームがリスクの最前線にいるのか、それともセキュリティの推進者として真の「第一の防衛線」となっているのか、真剣に考える必要があります。

私は、CIOやCISOの皆様が、開発チームをセキュアコーディングの推進者へと育て上げ、より速く、より優れた、より安全なコードでイノベーションを促進できているかを確認するための「セキュアコーディング・チェックリスト」を作成しました。

1. 経営層は、従来のネットワークセキュリティだけでは不十分であることを認識していますか？

従来のセキュリティ対策によるネットワーク層の保護は、もはや十分とは言えず、プロに近いハッカー相手にはほとんど通用しませんでした。Verizonの「2017年データ漏洩調査報告書」をはじめとする多くの報告が示す通り、今日のデータ漏洩の35%はWebアプリケーションの脆弱性に起因しています。Webアプリケーションのセキュリティは、ネットワークセキュリティと同等に重要です。

2. セキュリティを最初から考慮していますか？

現在のアプリケーションセキュリティツールは、ソフトウェア開発ライフサイクル（SDLC）の右から左へ（開発の後半から前半へ）向かうアプローチに重点を置いています。これは検知と対応を重視するもので、セキュリティチームが記述済みのコードから脆弱性を発見し、事後対応で修正するというものです。米国国立標準技術研究所（NIST）によると、コミット後のコードで脆弱性を発見・修正するコストは、IDEでのコーディング中に予防する場合と比べて30倍も高くなります。修正にかかる時間の遅延は言うまでもありません。セキュアコードの推進者は、SDLCの極めて早い段階から着手し、開発者への継続的なセキュアコーディング教育に注力することで、組織の第一の防衛線として脆弱性を未然に防ぎます。

3. 単なる知識の提供にとどまらず、実際にセキュリティスキルを構築していますか？

ほとんどのトレーニングソリューション（オンライン、対面問わず）は、スキルの構築ではなく知識の習得に偏っています。開発者がセキュアなコードを書くためには、実践的な学習を通じて、セキュアコーディングのスキルを能動的に習得・向上させる機会が不可欠です。開発者は、実際のコードや自社で使用している言語・フレームワークを用いて、最近特定された脆弱性について学ぶ必要があります。こうした学習体験を通じて、コード内の既知の脆弱性を特定し、修正する方法を理解できるようになるはずです。

4. セキュアコーディングのスキルをリアルタイムの指標で測定していますか？

開発者本人とその組織に対し、スキルが向上していることを証明するエビデンスを作成することが重要です。測定できないものは改善できません。評価プロセスは、開発チームの進捗をリアルタイムで把握し、セキュアコーディングにおける強みと弱みをベンチマークするのに役立つものであるべきです。

5. アウトソーシング先のサプライヤーがセキュアコーディング技術を適用していると確信できますか？

多くの組織が、国内外の大規模な開発会社に開発を委託しています。最良のケースでも、組織が求めるセキュリティ保証は契約書に「セキュアであること」と明記する程度です。実際に開発会社のスキルを事前に検証する組織は少なく、結果としてセキュアコーディングのベストプラクティスに従っていないソフトウェアが納品されます。最悪の場合、脆弱性に気づかないままアプリケーションをリリースしてしまいます。最も一般的なのは、専門家による診断（追加費用が発生します）で問題が発覚し、リリースが遅延したり、修正費用をどちらが負担するかという契約上の議論に発展したりするケースです。事前に賢明な判断を下し、次に構築するアプリケーションを担当する開発者のセキュリティスキルを評価してください。

6. 開発者は、最も一般的なセキュリティ上の弱点を把握していますか？

悪用されるWebアプリケーションの脆弱性の85.5%は、わずか10種類の既知の脆弱性（OWASP Top 10）に起因しています。アプリケーションセキュリティのトレーニングでは、最低限これらを網羅し、さらに多くの脆弱性タイプをカバーする必要があります。開発者が取り組む課題は、新しいコーディングフレームワークや新たな脆弱性タイプに合わせて、継続的に見直し・更新されなければなりません。

7. 社内にセキュリティチャンピオンはいますか？

開発者が多い組織であれば、開発チーム内でセキュリティを推進する担当者を置くべきです。その役割は、セキュリティに関する質問の窓口となるだけでなく、チーム内でセキュアコーディングやセキュアなアーキテクチャの実践を提唱することです。

8. 開発者がセキュアコーディングを容易に行えるようなツールに投資していますか？

アプリケーションの変更が頻繁な環境やアジャイル開発を実践している環境では、そのスピードと量に対応するためにセキュリティの一部を自動化することが不可欠です。開発ライフサイクルの各段階には、アドバイザーや品質ゲート、あるいは検知ツールとして機能するツールが存在します。開発者がコードを書いている最中にスペルチェッカーのように機能し、特定のセキュリティバグに焦点を当てるIDEプラグインを導入すべきです。また、コードリポジトリへのコミット時に特定の脆弱性を検知するビルドプロセス統合型ツールや、本番環境でハッキング手法をシミュレートして自動テストを実行するツールもあります。これらにはそれぞれ利点と課題があり、セキュリティ上の問題が皆無であることを100%保証できるものはありません。鉄則は、脆弱性を早期に発見することです。発見が早ければ早いほど、ビジネスへの影響を最小限に抑え、迅速かつ低コストで修正が可能になります。

CIOが企業のアジャイル能力を積極的に構築する中で、セキュアコーディングスキルはイノベーションの武器となります。逆に、このスキルが欠如していれば、それは破滅を招く要因となりかねません。この重要な能力を軽視することは、今一度考え直すべきです。

貴社の状況はこのチェックリストと照らし合わせていかがでしたか？

CIOが企業のアジャイル能力を積極的に構築する中で、セキュアコーディングスキルはイノベーションの武器となります。逆に、このスキルが欠如していれば、それは破滅を招く要因となりかねません。この重要な能力を軽視することは、今一度考え直すべきです。