サイバーセキュリティ業界分析：私たちが修正すべき、繰り返される脆弱性

この記事は Help Net Security に掲載された記事の転載です。内容を更新し、こちらに掲載しています。

‍

私はキャリアを通じて、さまざまな形で ソフトウェアの脆弱性 を発見、修正、議論、分析してきました。90年代から存在し、修正方法（多くの場合単純なもの）もほぼ同じ期間知られているにもかかわらず、一般的なセキュリティバグが依然としてソフトウェアを悩ませ、大きな問題を引き起こし続けていることを私は知っています。まるで映画『恋はデジャ・ブ』のように、業界全体が同じことを繰り返しながら、異なる結果を期待しているようにしか思えません。

しかし、もう一つ小さな問題があります。現代のサイバーセキュリティという絶え間ない猛攻に対抗するため、私たちは現実的なアドバイスや迅速な解決策を得られていないのです。もちろん、侵害の形はそれぞれ異なり、脆弱なソフトウェアを悪用する攻撃手法も数多く存在します。汎用的なアドバイスには限界があるとはいえ、ベストプラクティスとされるアプローチは、時が経つにつれて欠陥が目立つようになっています。

この点において、なぜサイバーセキュリティに関する解説や分析の多くが、多くの脆弱性の根本原因である「人間」に真に対処する解決策を欠いているのか、疑問に思わざるを得ません。Gartner社の最新の Hype Cycle for Application Security や、Forrester社の The State of Application Security 2021 は、セキュリティ専門家にとってのバイブルであり、プログラムや製品導入の判断に間違いなく影響を与えていますが、その内容はほぼ完全にツール中心です。2017年のAberdeenによるレポートは、 平均的なセキュリティ技術スタックがいかに手に負えない状態になっているか を示しており、CISOはセキュリティ戦略の一環として数百もの製品を管理していました。それから4年が経過した今、私たちはさらなるリスク、さらなる脆弱性、そして肥大化する技術スタックという怪物へのさらなる追加要素に頭を悩ませています。

セキュリティツールは必須ですが、視野を広げ、セキュリティ防御における「人間」という要素とのバランスを取り戻す必要があります。

自動化こそが未来です。なぜサイバーセキュリティにおける人間的要素を気にする必要があるのでしょうか？

私たちの生活のほぼすべてがソフトウェアによって支えられており、多くの業界でかつて存在した人間的要素が自動化に取って代わられているのは事実です。これは、AIや機械学習といったトピックが多くの組織の未来志向を支える、急速にデジタル化が進む世界における進歩の証です。

では、なぜサイバーセキュリティへの人間中心のアプローチが、技術的に進歩する問題に対する時代遅れの解決策でしかないと言えるのでしょうか？過去1年間にFacebookの直近の侵害を含め、 5億以上のアカウントに影響を与えた 侵害で数十億件ものデータ記録が盗まれたという事実は、私たちが脅威アクターに対して真剣な反撃を行うための十分な対策（あるいは正しいアプローチ）をとれていないことを示しているはずです。

サイバーセキュリティツールはサイバー防御に不可欠な要素であり、ツールが果たす役割は常に存在します。アナリストが企業の防御アプローチとして最新のツールを推奨してきたことは完全に正しく、今後もそれは変わりません。しかし、コードの生産量が増大する中でコード品質（ひいてはセキュリティ）を管理することは困難であり、ツールだけで対応することは不可能です。現在、以下のすべてを単独で行えるツールは存在しません。

• あらゆる言語やフレームワークにおけるすべての脆弱性のスキャン
• 高速なスキャン
• 誤検知や見落としによる二重作業の最小化

ツールは動作が遅く、煩雑で、扱いにくい場合があります。しかし何よりも、ツールは問題を見つけるだけで、修正したり解決策を推奨したりはしません。後者には、人手不足で過重労働に悩まされながら、終わりのないペネトレーションテストやスキャン結果というゴミの山から宝を探し出しているセキュリティ専門家が必要なのです。

実際、IBMのCyber Security Intelligence Index Reportによると、成功したデータ侵害の 95% に人的ミスが関与しています。その ほぼ半分 が ソフトウェアの脆弱性 に直接関連しており、その多くはSDLC（ソフトウェア開発ライフサイクル）の初期段階でセキュアコーディングと意識向上を徹底することで軽減できたはずです。しかし、これを実現するには、開発者のワークフローに教育を組み込むことに加え、より鋭く、より関連性の高い教育に焦点を当てることが鍵となります。

好むと好まざるとにかかわらず、人間はソフトウェア開発プロセスに深く根ざしており、サイバーセキュリティは圧倒的に人間が関わる問題です。ツールは私たちのアプローチの根本的な欠陥を修正する万能薬にはなりませんが、人間による解決策を再構築する上で重要なサポート役を果たすことができます。

では、より優れたツールを（大量に）構築すればよいのでしょうか？

セキュリティツールは常に進化しています。SAST/DAST/IASTツールは大きく進歩し、速度とインテリジェンスが向上しました。また、多くのアプリケーション環境において、RASPは真剣に検討すべき防御策です。ファイアウォール、シークレット管理、クラウドおよびネットワークセキュリティアプリケーションなどは、いずれも導入して当然のものです。

人間は常に優れたツールを作ろうと努力できますが、イノベーションは私たちが生きるデジタル世界のセキュリティとデータ保護のニーズに追いついていません。ツールのほとんどは、ロボットを念頭に置いて構築されています。開発者やセキュリティチームがコードをスキャン、監視、保護するのを支援する役割は果たしていますが、対話は非常に限定的であり、セキュリティ意識を高めたり、より良いセキュリティ成果につながる中核的なスキルを向上させたりすることを目的としたソリューションはほとんどありません。

実際、 企業の半数以上は、ツールが自社に役立っているかどうかさえ把握しておらず、壊滅的なデータ侵害を防げるという確信も持っていません。これは非常に残念な状況であり、異なるアプローチへの支援が欠如したツール偏重の業界では、現状維持と内部の問題を固定化させる傾向があります。

組織はどのようにして人間主導のセキュリティアプローチを活用できるのでしょうか？

アプリケーションセキュリティ技術のトレンドを先取りすることが有益であることは間違いありません。肥大化した技術スタックのアップグレードや統合の優先順位付けにも役立つでしょう。しかし、脆弱なソフトウェアの根本原因である「人間」という要素を軽視していては、サイバーセキュリティの戦いで勝利を収めることはできません。

コードレベルのセキュリティ脆弱性を本気で減らしたいのであれば、開発者がセキュリティの責任を分担できるよう、その基盤を整える必要があります。必要なのは、実践的で関連性の高い教育、業務を通じたスキルアップ、そしてワークフローを妨げず、セキュリティ対策を面倒な作業にさせない機能的なツールです。理想を言えば、開発者のユーザーエクスペリエンスを第一に考えた、開発者中心のツールであるべきです。

現在、開発者向けの正式なセキュリティ認定プログラムは存在しません。しかし、どの企業もセキュアコーディングスキルのベンチマークと向上に取り組むことで恩恵を受けられます。一般的な脆弱性を早期かつ頻繁に排除することで、大規模な技術スタックが動き出し、すべてが停滞してしまう事態を防ぐことができるのです。

セキュリティ意識の高い開発者チームは、組織にとって隠れた宝です。しかし、価値あるものすべてがそうであるように、理想的なチームを構築するには時間と努力が必要です。開発者にセキュリティの重要性を理解してもらい、セキュアコーディングをコード品質の基盤と見なしてもらうには、組織全体でセキュリティを最優先する姿勢が不可欠です。チーム全体が、コード作成段階で一般的な脆弱性を排除できるという自覚を持てば、どんなツールも及ばない強力な力となるでしょう。