認定セキュリティ意識：開発者のレベルを引き上げる大統領令

もし「絶好のタイミング」というものが存在するなら、バイデン政権による今回の大統領令（EO）の発表はまさにそれだと言えるでしょう。この大統領令は、連邦政府のネットワークを強化し、全米でサイバーセキュリティの基準とベストプラクティスを向上させるための計画を打ち出しています。この戦略は、SolarWindsによる現在進行形のサプライチェーン侵害や、Colonial Pipelineのガスインフラ攻撃といった、最近の壊滅的なサイバー攻撃を受けたものです。

これらの出来事は間違いなく政府のあらゆるレベルに波紋を広げましたが、この指令はサイバーセキュリティの未来にとってエキサイティングな転換点となります。私たちはついに、デジタル環境の保護をトップダウンで真剣に考え始めたようです。今こそ、より優れた基準と高品質なソフトウェアを推進する絶好の機会です。

この大統領令は機能的なサイバーセキュリティの多くの側面に触れていますが、開発者が与える影響と、開発者が検証済みのセキュリティスキルと意識を持つ必要性について、初めて具体的に言及しました。私たちは長年、これこそが頻発する一般的な脆弱性と戦うための道であると訴え続けてきました。政府の指針がこのアプローチと一致することは、サイバー防衛において広く成功を収めるための道筋となります。

組織や連邦政府の各部門は、この命令にどのように対応すべきでしょうか。主要なカテゴリーをいくつか紐解いていきましょう。

「形式的な対応」はもう通用しません。

私たちは以前から、開発者向けのサイバーセキュリティ研修の多くが効果的ではないと指摘してきました。その多くはあまりに一般的で、望ましい結果（つまり、より安全なコード）を引き出すような魅力的な内容ではなく、実施頻度も低すぎます。さらに悪いことに、多くの企業が「形式的な対応」で満足しています。これは、運用上の要件を満たし、開発者の名前の横にチェックマークを付けるためだけに、最低限の「一度きり」の基礎知識を提供するアプローチです。こうした教育戦略こそが、CISO（最高情報セキュリティ責任者）を常に不安にさせ、自社が次のゼロデイ攻撃の犠牲にならないことを祈るしかない状況に追い込んでいるのです。これでは脆弱性を減らし、より高品質なコードを作成することはできません。

バイデン大統領の指令の第4セクションでは、組織が開発者のセキュリティコンプライアンスを文書化し、検証済みであることを証明する必要性が明確に示されています。

‍

「ガイドラインには、ソフトウェアのセキュリティを評価するための基準、開発者やサプライヤー自身のセキュリティ慣行を評価するための基準、そして安全な慣行への準拠を証明するための革新的なツールや手法の特定を含めるものとする。」

ここで一つ問題となるのは、開発者に特化した業界標準の認定制度が現在存在しないことです。開発者のセキュアコーディングスキルをベンチマークし、コースや評価を通じてスキルを向上させることは、企業が目標を設定しコンプライアンスを達成するために不可欠です。開発者が実践的でハンズオンな環境でコアコンピテンシーを発揮できれば、それを有意義かつ信頼できる方法で評価・認定することが可能になります。これはSecure Code Warriorが提供するサービスの核心であり、私たちは各社の技術スタックや組織の要件に合わせてカスタマイズ可能な、信頼性の高い認定システムを構築するために尽力してきました。

これらのスキルは非常に価値があり、自動化することはできません。認定制度は、開発者をコードベースを巧妙な脅威から守る「セキュリティ意識の高い部隊」へと変えることができます。

‍

開発者向けツール（およびツール全般）への注力。

セキュアコーディングの実践を検証するためのガイドラインに加え、この大統領令はセキュリティの自動化とツール活用についても深く掘り下げています。

セキュリティの観点から見ると、人間だけで対応するにはあまりにも多くのコードが生成されており、広範な技術スタックの一部としての自動化は、あらゆるセキュリティプログラムにおいて重要な役割を担っています。しかし、すべてのツールが同等に優れているわけではなく、あらゆるプログラミング言語においてすべての脆弱性を検出できる「万能なツール」は存在しません。優れたセキュリティプログラムには、特に開発者向けのツールやサービスに関して、きめ細やかなアプローチが必要です。

大統領令の第3セクションでは、連邦政府が利用するソフトウェアを作成するベンダーへの期待と、開発プロセスにおけるツール使用に関する指針が示されています。

‍

“ (iii) 自動化ツールまたは同等のプロセスを採用して信頼できるソースコードのサプライチェーンを維持し、それによってコードの完全性を確保すること。
(iv) 既知および潜在的な脆弱性をチェックして修正する自動化ツールまたは同等のプロセスを採用すること。これらは定期的に、あるいは少なくとも製品、バージョン、またはアップデートのリリース前に実行されるものとする。”

開発者の技術スタックにおけるセキュリティツールは、セキュリティのベストプラクティスを迅速に向上させる手段の一つであり、リリースが期限を守り、セキュリティバグやその他の重大な問題によって遅延しないようにする助けとなります。しかし重要なのは、開発者が最も強力なツールを最大限に活用するためには、依然として文脈に応じた学習が必要だということです。何がフラグ立てされ、なぜそれが危険であり、どう修正すべきかを理解することは不可欠であり、それによってツールが検出するミスそのものを減らすことにつながります。

最高のツールとは、開発者の環境に統合され、より高品質で安全なコードの作成を支援し、セキュリティを常に意識させるものです。

‍

サプライチェーンのセキュリティ確保

この大統領令の中で私が特に注目しているのは、ソフトウェアサプライチェーンを保護するための包括的な計画です。SolarWindsの事件を考えれば当然の流れですが、これは非常に重要なポイントです。

“連邦政府が使用するソフトウェアのセキュリティは、政府が重要な機能を遂行する上で不可欠である。商用ソフトウェアの開発においては、透明性の欠如、攻撃に対する耐性への配慮不足、悪意ある攻撃者による改ざんを防ぐための管理体制の不備がしばしば見受けられる。製品が安全かつ意図した通りに機能することを保証するため、より厳格で予測可能なメカニズムを導入する必要性が高まっている。連邦政府は、重要ソフトウェアへの対応を優先し、ソフトウェアサプライチェーンのセキュリティと整合性を迅速に向上させるための措置を講じなければならない。”

この決定は、米国政府との取引を検討しているすべてのソフトウェア企業に影響を及ぼしますが、本来はあらゆる場所で標準として適用されるべきものです。サードパーティベンダー（サードパーティ製コンポーネントを利用する開発者は言うまでもありません）のセキュリティ対策における透明性の欠如は、サイバーセキュリティのベストプラクティスが遵守されているかを評価、検証、宣言することを極めて困難にしています。私たちは、利用するサプライヤーと彼らが作成するソフトウェアを分析しなければなりません。こうした取り組みは「過剰な対応」と見なされるかもしれませんが、サイバーセキュリティのベストプラクティスにおけるゴールドスタンダードとして不可欠な要素です。

安全なコードを自信を持ってリリースすることは、長年業界の課題となってきましたが、今こそ既存のプロセスを見直し、他社が追随できないほど強固なソフトウェアとクラウドインフラを構築する絶好の機会です。今すぐお問い合わせいただき、コース、評価ツール、そして開発者向けツールを活用して、セキュリティ意識の高い次世代の開発者チームを育成する方法をご確認ください。

‍