CISOやCIOがいかにして創造性を発揮し、セキュリティプログラムを変革・刷新できるか

この記事は DevOps.comに掲載された記事を基に、タイトルを変更し、新しい情報を加えて更新したものです。

CISOやCIOは、特に企業のデータ漏洩という不名誉な事態が発生した際、ソフトウェアセキュリティに対する責任の大部分を負うという、決して羨ましくない立場にあります。しかし同時に、彼らには自身の重要性を高めるまたとない機会も与えられています。彼らは新たなイノベーターであり、適切なアプローチをとれば非常に大きな影響力を行使できるのです。現在、世界中のあらゆる組織が、急速にデジタル化が進む世界で市場での地位を維持（および獲得）しようと奮闘しています。顧客は過去の製品だけでなく、将来の製品に対してもシームレスなオンライン体験を期待しており、「デジタルファースト」のビジネスアプローチが必須となりつつあります。結局のところ、こうした期待に応えられなければ、その隙を突こうと待ち構えている競合他社に市場を奪われることはほぼ確実です。

では、現代のCISOやCIOにとって、それは何を意味するのでしょうか。当然のことながら、彼らはデジタル製品やサービスを構成するコードを一行一行作成する開発者チームを雇用しているということです。サイバーセキュリティは長年主要な検討事項でしたが、ビジネス運営の多くがオンラインで行われ、攻撃者の標的となるにつれ、リスク要因はますます高まっています。漏洩がもたらす影響は甚大ですが、デジタル化を避けるという選択肢はもはやありません。

創造的なCISOやCIOは、AppSec（アプリケーションセキュリティ）チームや開発チームと協力し、デジタルな未来への道を切り開き続ける絶好の立場にあります。彼らは間違いなく、オンラインにおけるビジネス、政府、公共サービスの長期的な革新を形作っていくでしょう。しかし、彼らは迅速な市場投入という目標、高いソフトウェア品質、そしてセキュリティリスクの軽減という、相反する要素を両立させるという重い責任を背負っています。

このバランスを保つことは、これまで非常に困難でした。その結果、開発チームは断片化しがちで、コードを迅速に量産する中で生じうる脆弱性への配慮を欠いたまま、機能や仕様の提供を最優先する傾向が強まりました。AppSecの専門家は同じミスを修正し続ける一方で、単純なバックドアが放置されたことによる漏洩の脅威が常に大きく立ちはだかっています。

データを安全に保つためには、CISOやCIOはチームの連携方法を工夫し、トップダウンでポジティブなセキュリティ文化と責任の共有を醸成する必要があります。2018年にマリオット（Marriott）が直面した壊滅的な結果を見てください。1億2,300万米ドルを超えるGDPR制裁金、5億件以上の記録流出、そして失墜したセキュリティの評判。この惨事は、主に安全でないコーディング慣行が直接的な原因となって発生しました。2014年にはすでにスターウッド（Starwood）社のサーバーでSQLインジェクションの脆弱性が発見されていましたが、マリオットが2016年に同社を買収した後、そのソフトウェアの使用はアプリケーションセキュリティの観点から明らかにチェックされていませんでした。これにより、悪意のある攻撃者は長年にわたってデータにアクセスし、取得することが可能となりました。さらに、脆弱なパスワードのような他の脆弱性も、時間の経過とともに悪用される隙を放置することになりました。

CIOとCISOは、自社のソフトウェアセキュリティの現状を慎重に検討する必要があります。平均的な開発者のセキュリティ意識はどの程度でしょうか。AppSecチームと開発チームはどれほど円滑に連携できているでしょうか。「魔法の杖」のような解決策はありませんが、文化、トレーニング、サポートは改善していくことができます。開発チームは、組織におけるデータ漏洩リスクの最前線から、悪意のあるコードが本番環境にリリースされる前に阻止する「セキュリティのスーパーヒーロー」へと変貌を遂げることができるのです。

セキュアコーディングの健全性チェック：あなたの組織は危機的状況にありませんか？

あなたの開発チームはどのような状態でしょうか。私は、CIOやCISOが自社の開発チームが真にセキュアコーディングのチャンピオンとなる準備ができているかを見極め、より速く、より優れた、より安全なコードで革新を促進できるよう支援するために（あるいは、セキュリティプログラムの抜本的な見直しが必要かどうかを判断するために）、このセキュアコーディングチェックリストを作成しました。

1. 経営陣（C-Suite）のサポートはどの程度得られていますか？彼らは、従来のネットワークセキュリティだけではもはや不十分であることを理解していますか？

ソフトウェアの未来において、時代遅れのセキュリティ対策を用いてネットワーク層を保護するだけでは全く不十分であり（正直なところ、成功することも稀です）、セミプロレベルのハッカー相手ですら通用しません。一貫した多くのレポートの中でも、ベライゾン（Verizon）の「2017年データ漏洩調査報告書」は、今日のデータ漏洩の驚くべき35％がWebアプリケーションの脆弱性に起因していると指摘しています。

Webアプリケーションセキュリティはネットワークセキュリティと同等に重要です。これを無視し、AppSec対策という基本的かつ不可欠な保護層を予算に組み込まず、導入を怠ることは、漏洩に対して完全に無防備な状態を招きかねません。

2. 「シフトレフト」は十分に行われていますか？また、それは十分に早い段階で実施されていますか？

現在のアプリケーションセキュリティへのアプローチはツール偏重であり、ソフトウェア開発ライフサイクル（SDLC）において右から左へ（後工程から前工程へ）移動することに重点を置いています。これは定義上、そして設計上、プロセスに欠陥があることを認めるものであり、検知と対応という結果を支持するものです。セキュリティチームは、すでに書かれたコード内の脆弱性を探し出して検知し、コードが作成される段階でバグのない状態を確保するのではなく、コミットされたコードを修正するという事後対応を行っています。米国国立標準技術研究所（NIST）によると、コミットされたコード内の脆弱性を検知して修正するコストは、IDEでコードを書いている段階で防止する場合の30倍に達します。これには、本番環境への遅延、二度手間、そして同じ既知のセキュリティ問題を何度も修正するために費やされる時間は含まれていません。

真に強固なセキュリティ文化は、左側（開発の初期段階）から始めることを重視し、開発者の中からセキュリティチャンピオンを育成し、開発チームがセキュアコーディングの考え方を持って成長し行動するための適切なツールとトレーニングを提供します。継続的な自己研鑽に焦点を当て、問題解決能力を磨くことで、彼らが組織の第一の防衛線となり、一般的な脆弱性がそもそも発生しないように予防するのです。

3. 実践的なセキュリティスキルの構築に努めていますか？それとも、一方的な知識の提供にとどまっていますか？

セキュリティトレーニングソリューションの大部分（オンラインやCBT）は、業務に直結する実践的なスキルではなく、知識の習得に重点を置いています。開発者がセキュアなコードを書くことに意欲的に取り組むためには、実際の環境でトレーニングを継続し、スキルを磨くことを積極的に促す、文脈に沿ったハンズオン学習への定期的なアクセスが必要です。彼らは、実際のコード例を用いて、最近特定された脆弱性について学び、好みの言語やフレームワークで作業できる必要があります。このような学習体験は、彼らが日々の業務で扱っているコード内の既知の脆弱性を発見、特定、修正する方法を理解するのに効果的です。

知識豊富な講師や、脆弱性の修正に関する情報は数多く存在しますが、教科書を読み漁ったり、何時間ものビデオを視聴したりするだけでは、創造的で問題解決を好む多くの開発者の関心を引くことはできません。データ漏洩が絶えないという現状が示す通り、この方法は脆弱性の混入を防ぐにはほとんど効果がないままです。

4. セキュアコーディングのスキルをリアルタイムの指標で測定していますか？

開発チーム内にセキュリティファーストの考え方を定着させるための重要なステップは、証拠を収集し、検証することです。これは推測や当て推量であってはなりません。開発者はセキュリティを意識しているか、そうでないかのどちらかです。

メトリクス（指標）は、開発者とその組織に対し、彼らの懸命な努力が報われていること、そして個々のセキュアコーディングスキルが向上していることを証明するものです。測定できないものは改善できません。適切な評価を行い、開発チームの進捗状況をリアルタイムで把握するとともに、セキュアコーディングの強みと弱みをベンチマークして継続的な改善につなげる必要があります。

多くの場合、セキュリティトレーニングは組織にとって単なる「形式的な義務」となっており、そのトレーニングが効果的であったか、関与があったか、あるいは定着したかを確認することに重点が置かれていません。

5. アウトソーシング先のベンダーは、堅牢なセキュアコーディング技術を使用していますか？

多くの組織が、開発業務をサードパーティの代理店に委託することを決定しています。国内外を問わず、彼らの一般的なセキュアコーディング能力や実践方法は、クライアントにとって未知数であることがほとんどです。最良のケースでも、組織が受け取るセキュリティに関する唯一の保証は、成果物が「安全であること」を求める契約上の文言だけです。これらの開発会社が持つスキルを事前に検証する企業は非常に少なく、その結果、指示通りに動作するものの、健全なセキュアコーディング慣行に従わずに構築されたソフトウェアが納品されるリスクを抱えています。さらに悪いことに、購入側の企業がアプリケーション内の潜在的なセキュリティ欠陥に気づいていない場合、脆弱なソフトウェアを世に送り出すリスクが生じます。

最も一般的なシナリオは、脆弱性が専門のセキュリティスペシャリスト（確保が難しく、高コストな人材）によって発見され、リリース日の遅延や、セキュリティ上の弱点の修正費用を誰が負担するかという契約上の議論に直面することです。しかし、事前に賢明な判断を下し、次のアプリケーションを構築する開発者のアプリケーションセキュリティスキルを評価しておけば、多くの遅延やフラストレーション、そしてコストを削減できます。

6. 開発者は、最も一般的に悪用されるセキュリティ上の弱点を認識していますか？

悪用されるWebアプリケーションの脆弱性の85％以上は、わずか10個の既知の脆弱性、つまりOWASP Top 10に起因しています。最低限、アプリケーションセキュリティトレーニングでは、これらに加えてさらに多くの種類の脆弱性をカバーする必要があります。開発者が取り組むトレーニング課題は定期的に見直し、更新し、新しいコーディングフレームワークや新しい脆弱性タイプに対応した新しい課題を追加しなければなりません。

実際のセキュアコーディングシナリオを使用した精密なトレーニングが標準であるべきです。曖昧な一般知識は効果がありません。（どのようなセキュアコーディングシナリオがあるか興味がありますか？当社のCoders Conquer Securityブログシリーズをご覧ください。各投稿にプレイ可能なチャレンジが含まれています）。

7. 社内にセキュリティチャンピオンはいますか？

開発者が多いすべての組織は、セキュリティチャンピオン、つまり開発チーム内で高いセキュリティ基準を維持する責任を負う人物に投資すべきです。彼らの目的は、セキュリティに関する質問がある人にとってのサポート窓口となり、セキュリティのベストプラクティスに従うための主要な推進者となることです。

彼らはセキュリティ文化というパズルの重要なピースです。優れたセキュリティチャンピオンは、集中的なトレーニングから得た勢いを維持し、チームの全メンバーが必要なものを確実に得られるようにし、サポートを継続的に提唱することができます。

8. 開発者がセキュアコーディングを容易に行えるようなツールに投資していますか？

あなたの組織がアジャイル開発を実践している場合、あるいは社内で構築されたアプリケーションの頻繁な更新に直面している場合、セキュリティの一部を自動化することは、激しいペースと作業量に対応するための唯一の方法の一つです。

SDLC（ソフトウェア開発ライフサイクル）の各段階には、アドバイザー、品質ゲートキーパー、または検出ツールとして機能するツールが用意されています。さらに、一部のツールはコードに対して自動テストを実行し、ソフトウェアが本番環境にあるときにハッキングの試みをシミュレートします。すべてに独自の利点と課題があり、アプリケーション内にセキュリティ上の脅威が存在しないことを100％保証する万能なツールはありません。採用できる最大の予防策は、弱点を早期に発見することです。そうすれば、ビジネスへの影響を最小限に抑え、より迅速かつ安価に修正できます。

先見の明のあるCISOのための次のステップ

さて、あなたの組織は上記のチェックリストに対してどのような結果でしたか？

CISOやCIOは、企業全体のDevOpsおよびDevSecOps能力を積極的に構築せざるを得ない状況にありますが、だからといってチーム全体で適切なツールやトレーニングを検討・導入する時間がないわけではありません。セキュアコーディングスキルは、イノベーションを妨げるものではなく、武器となるものです。これらを軽視することは、企業の評判やデータの完全な破壊を招きかねません。これらのスキルは重要な能力であり、脆弱性を減らしリスクを軽減するための、長期的にははるかに安価な解決策となります。

優秀で革新的なCISOには、トップダウンで健全なセキュリティ文化を構築する力があります。スタッフがセキュリティのベストプラクティスを効果的に実行するために必要なものを確実に提供してください。

Pieter Danhieuxはセキュリティ専門家であり、Secure Code Warriorの共同設立者です。