ブランチのハイライト：AppSecリーダーたちが語る知見

AppSecの専門家として歩んできたキャリアの中で、私は幸運にも業界屈指の素晴らしい才能を持つ人々と出会い、ネットワークを築くことができました。彼らは皆、世界中で増え続けるコードの網を保護し、強化するために大きな足跡を残しています。この道のりの節目に立ち（知識は少し増えましたが、髪はだいぶ減りました！）、ソフトウェアセキュリティの未来を担うスターたちに向けて話をしてほしいと頼まれることがよくあります。私はこの役割が大好きです。しかし同時に、リーダーやメンターとして、自立し成長しようとしている人々の目に留まる存在であることの重要性も痛感しています。

先日、ロンドンでSecure Code Warriorチームのメンバーと共に、AppSecの第一線で活躍するスーパースターたちを招いたブランチイベントを開催しました。ネットワーキングや知見の共有、そして美味しいペストリーを楽しむのが目的です。60名を超える招待客を前に、彼らは専門家パネルとして豊富な経験を語り、アプリケーションセキュリティの未来に対する期待を大いに高めてくれました。

組織のAppSec予算を最大限に活用する方法や、会場からの鋭い質問など、注目のトピックを取り上げたこのパネルディスカッションは、セキュリティマネージャーや専門家、そして開発者が組織内で実行可能なプログラムを構築する 上で、間違いなく大きな助けとなるでしょう。

パネルディスカッションには、以下のリーダーをお招きしました。ツール対人：AppSec予算は両方に適切に配分されているか？

• Vincent Gilbert氏（CISO、Societe Generale
• ）、C̩dric Levy-B̩ncheton氏（CEO、Cetome
• ）、Reena Shah氏（セキュリティ＆プライバシー文化・意識向上責任者、M&G Prudential
• ）、Lee Thurlow氏（グローバルAppSecディレクター、Pearson
• ）、Lewis Bramfitt氏（マネージングディレクター、Bramfitt Lab）。

各登壇者は、AppSecツールの現状について見解を共有しました（ネタバレ：多くの組織が膨大なソフトウェアを開発している現在、必要な機能をすべて網羅するツールを選ぶのは至難の業です。結局のところ、単一のツールですべてをカバーすることはできないのです）。

Reena Shah氏は興味深い指摘をしました。ここ数年で、大企業におけるAppSecの認識は前向きに変化しており、セキュリティのベストプラクティスと文化を維持するための「人への投資」という極めて重要な要素が形になり始めているといいます。

「状況は変わりつつあると思います。4年前にこの仕事を始めた当初、セキュリティ文化や意識向上のための予算やチームを確保するのは非常に困難でした。しかし今、それはもはや私の課題ではありません。『リスクを軽減するために必要な予算と人員はこれです』と説明すれば、すぐに理解が得られます。大きな変化を感じています。それは、取締役会や経営層が、セキュリティインシデントを減らすための資金提供がいかに重要かを理解し始めているからでしょう」と彼女は語りました。

パネルディスカッションの全編はこちらからご覧いただけます：

AppSecの未来において、最前線で働く開発者に適切なトレーニングと知識を提供し、古くから存在する脆弱性に対して強固な防御を築けるようにするという方針は、非常に心強く感じられます。

ツールは一つのサポート手段に過ぎません。私たちはそろそろ、同じ過ちを繰り返すのをやめるべきだという事実に直面する必要があります。

AppSecのエラーループを断ち切る

「Leaders in AppSec」ブランチの一環として、私は同じセキュリティ脆弱性が何度も繰り返されるという、コストのかかる継続的な問題にどう対処すべきかについてプレゼンテーションを行いました。ツールは脆弱性を見つけることはできても、それを防ぐことにはあまり貢献しません。脆弱性が入り込むのを未然に防ぐためには、開発者に適切なトレーニングを提供する必要があります。

開発者というものは面白いもので、トレーニングの内容によって、関心や定着率に大きな差が出ます。私のプレゼンテーションの全編はこちらからご覧いただけます：

An emphasis on security training, as well as general awareness and a positive culture between developers and AppSec is like kryptonite to an attacker. Those little back-door openings shut, those easy ways to our data dry up, and security superheroes are working together to make security synonymous with software quality.

ゆっくりと、しかし確実に、私たちはそこへ向かっています。