ソフトウェアベンダーは、あなたと同じくらいセキュリティを重視しているでしょうか？

本記事は Security Magazine に掲載された記事を基に、更新および転載したものです。

‍

セキュリティ専門家にとって、12月13日は特別な意味を持つ日です。SQLインジェクションを完全に根絶できた日でしょうか？もちろん違います。「国際セキュリティ従事者感謝デー」でしょうか？それも違います。この日は、FireEyeとMandiantが、後にSolarWinds事件として知られることになる、未知の 世界規模の侵入キャンペーン に関する衝撃的なレポートを発表した日です。このレポートでは、SolarWinds社の人気管理ソフトウェア「Orion」のアップデートに悪意のあるコードが深く隠されていたという、進行中で信じがたい攻撃の詳細が明らかにされました。

18,000社を超えるSolarWindsの顧客が、すでにその改ざんされたアップデートをダウンロードしていました。その多くは、組織やネットワーク内の他の何百ものソフトウェアアップデートと同様に、自動的に行われたものです。攻撃者は、SolarWindsの侵害を通じてアクセス権を得た後、攻撃対象を非常に慎重に選別していました。多くの大企業や政府機関がデータを盗まれ、ネットワークを侵害されました。これは史上最大かつ、おそらく 最もコストのかかった侵害 の一つであり、特に政府機関の場合、被害の全容は未だに公表されていません。

そして、これらすべては、人々がソフトウェアサプライチェーン内のベンダーを、その活動を適切に検証や審査することなく信頼したために起こったのです。

サプライチェーンセキュリティへの大規模な転換

警鐘が鳴らされると、企業、組織、政府機関は迅速に対応しました。SolarWindsの侵害はもちろん阻止されましたが、この攻撃は、規制も監視もされていないソフトウェアサプライチェーンの危険性を浮き彫りにしました。SolarWindsの事件は発見後すぐに収束しましたが、サプライチェーンが攻撃ベクトルとして利用されたことによる影響は現在も続いています。この攻撃から何か一つでも良い結果が得られたとすれば、それはサイバーセキュリティにおける重要でありながら見過ごされていた側面に光が当たったことでしょう。

SolarWinds攻撃に対する最も注目すべき対応の一つが、バイデン大統領による 大統領令「国家のサイバーセキュリティの向上」です。この大統領令は、米国で発行された中で最も包括的なサイバーセキュリティ指令の一つです。政府機関および政府と取引を行う企業に対し、より優れたサイバーセキュリティを要求し、ゼロトラストネットワークのような高度な保護を推奨するとともに、ソフトウェアサプライチェーンセキュリティの必要性を強調しています。

この大統領令は政府を対象としたものですが、他のグループもSolarWindsのような攻撃を防ぐためにサプライチェーンセキュリティの重要性を強調し始めています。例えば、Palo Alto社は最近、 Unit 42 Cloud Threat Report「クラウドを保護するためのソフトウェアサプライチェーンの確保」を発表しました。このレポートでは、ソフトウェアサプライチェーンのセキュリティなしに、クラウド環境を完全に安全にすることはできないと述べています。Cloud Native Computing Foundationもこれに同意し、SolarWinds事件を受けて遵守すべきソフトウェアサプライチェーンの重要なベストプラクティスを詳述した ホワイトペーパー を公開しました。

ここ数年でサイバーセキュリティの基準が劇的に変化したことは間違いありません。必須ではないにせよ、すべての組織がこれに倣い、ベンダーのセキュリティ対策を自社の内部セキュリティプログラムの一部であるかのように厳しく精査することを目標とすべきです。CISAの新しい 戦略計画 のような取り組みは、セキュリティを共有の責任として捉えることが、すべてのソフトウェア開発者、特に重要インフラやソフトウェアサプライチェーンに関わる人々にとっての新しい基準の一部となりつつあることを裏付けています。

組織はソフトウェアサプライチェーンを改善するために何ができるでしょうか？

この状況を受け、多くのベンダーが自社のサプライチェーンを保護するために何ができるかを真剣に問い直しています。組織は、ベンダーが自社と同じくらいサイバーセキュリティを重視していることを確認するために、どのような対策を講じればよいのでしょうか？

大統領令では、ソフトウェア開発者の影響と、彼らが 検証済みのセキュリティスキル と意識を持つ必要性が具体的に示されています。これは、ツール偏重の業界において忘れられがちな領域であり、重要なセキュリティスキルを通じた「人主導の防御」に焦点を当てる必要があります。

今日、包括的なサイバーセキュリティアプローチには、技術的なセキュリティ管理体制の網羅的な評価に加え、パートナー企業が自組織内でガバナンス、リスク、コンプライアンスをどのように捉えているかという評価を含む、詳細なサードパーティリスクアセスメントが不可欠であることは明らかです。

すべてのサードパーティ評価には、ソフトウェアサプライチェーン内の企業が、検証済みの証明書署名を用いてどのように安全なプログラムアップデートをリリースする計画か、また、すべてのソフトウェアとデバイスのID管理をどのように支援するかについての保証と詳細な計画を含めるべきです。また、製品の暗号化アップグレードと更新に向けた明確な道筋を示す必要もあります。

開発者がソフトウェアサプライチェーンセキュリティの重要な構成要素としてようやく認識されるようになった今、評価には、開発コミュニティ内でのセキュアコーディングと継続的な改善をどのように促進しているか、また理想的には、スキルや現在のトレーニングのベンチマークに関する報告書を含めるべきです。開発者のスキルアップへの注力は改善されつつありますが、 48%の開発者が、脆弱性のあるコードを意図的にリリースしたことがあると認めています。

時間的制約や、セキュリティが彼らの世界において最優先事項（あるいは成功の尺度）ではないという現実といった要因が、コードレベルの脆弱性が本来あるべきほど早期に対処されない環境を生み出しています。ソフトウェアサプライチェーンへの感染を食い止めるためには、 すべての 組織が、より開発者に優しいセキュリティプログラムに取り組む必要があります。

次のステップは？

リスクアセスメントは極めて重要です。なぜなら、セキュリティ上の問題を抱えるベンダーのソフトウェアを使用すれば、その問題を自社のエコシステムに引き継ぎ、その結果を負うことになるからです。しかし、組織は、ベンダーの方が実際にはセキュリティが強固であり、開発者コミュニティのサポートにおいて優れている可能性があることにも気づくべきです。

サードパーティリスクアセスメントは、自社のセキュリティを評価するための二次的な手段として活用できます。もしベンダーがセキュリティの特定の側面において自社よりも優れた対応をしているなら、その手法を取り入れることで自組織を改善できるはずです。

最後に、ソフトウェアサプライチェーンを真に改善するための次の大きなステップは、開発者向けのセキュアコーディング認定を導入することです。優れた計画を立てることは第一歩に過ぎませんが、それが実際に遵守され、安全なコードの作成に役立っているかを検証することも不可欠です。

開発者がセキュアコーディングを習得することが当たり前になるまでは、脅威アクターに付け入る隙を与えないための対策は常に後手に回ってしまいます。しかし、適切なサポートがあれば、今からでも状況を大きく改善することは可能です。アジャイル学習の力で、開発者が実用的かつ効果的なセキュリティスキルを磨く方法を今すぐご確認ください。