サイバーセキュリティのベストプラクティスは金融業界に学べ

初出：Regulation Asia。

あらゆる業種・組織がサイバー攻撃の標的となる中、多額の損失や社会的信用の失墜、そして収益への悪影響を招くデータ侵害の脅威は極めて現実的なものとなっています。この問題は縮小するどころか、腫瘍のように拡大し続けています。

「サイバーセキュリティやアプリケーションセキュリティ（AppSec）のベストプラクティスという『無法地帯』を、卓越した手腕で切り抜けている組織はどこか」と尋ねられることがよくあります。その際、私は決まって金融業界の名を挙げます。彼らは他のどの業界よりもこの課題にうまく対処しているからです。

規制：金融業界がサイバーセキュリティをリードする原動力

金融セクターがアプリケーションセキュリティの分野で高い適応力を見せる理由の一つは、サイバー攻撃やデータ窃盗が成功した際に生じる壊滅的かつ普遍的な影響を懸念する、国内外の規制当局の存在があるからです。

バーゼル銀行監督委員会（BCBS）が昨年12月に発表した報告書では、複数の管轄区域における銀行のサイバーレジリエンスの実践状況や、規制・監督の現状が詳述されています。その重要な発見の一つが、サイバーセキュリティ人材の不足という課題です。この問題に対し、特定のサイバー認定制度を導入して対処している管轄区域はごくわずかです。

報告書によると、「一部の管轄区域では、IT人材や情報セキュリティ機能の責任を明確にするIT固有の基準を設けており、特にサイバーセキュリティ人材のトレーニングと能力開発に注力している」とのことです。しかし、銀行のサイバー人材のスキルやリソースを監視するための監督体制を導入している国は、まだ「初期段階」にあります。

多くの規制枠組みでは、規制対象企業に対してリスク管理を求めてはいるものの、そのリスクを確実に軽減するための明確な道筋が示されていることは稀です。サイバーセキュリティ人材のスキルやリソースに関する具体的な要件やベンチマークは設定されていません。ほとんどの規制当局は、オンサイト検査や自己評価アンケートを通じて人材を評価しており、トレーニングプロセスは厳しく精査されますが、ITスタッフの役割と責任を規制で具体的に定めている管轄区域はごくわずかです。端的に言えば、許容されるエラーの余地は大きい一方で、適切なトレーニングやスキル評価への注力は極めて不十分なのが現状です。

日本や韓国では、公的機関がサイバーセキュリティ人材の適切な管理に関するガイドラインを策定しています。しかし、他の多くの管轄区域では、サイバー人材管理に関する規制要件は監督上の期待値にとどまっており、規制当局が組織内のサイバーセキュリティスキルやスタッフのトレーニングを評価することはほとんどありません。

サイバー人材のスキルと能力を認定する専用の枠組みを導入しているのは、香港、シンガポール、英国のみです。「コンプライアンス」や「認定」といった言葉は、優れたソフトウェア機能の開発に情熱を注ぐクリエイティブなエンジニアたちを萎縮させがちです（彼らにとってセキュリティは、セキュリティチームが担当すべき「他人の問題」と見なされることが多いためです）。しかし、規制対象企業が保有する膨大な機密データは、スキルが「推測」に頼られているような人々に任せるにはあまりにも価値が高すぎるのです。

幸いなことに、多くの銀行や金融機関は、明確な規制の道筋に頼ることなく、この事実を認識しています。規制は確かに最終的な期待値（安全なソフトウェアの構築など）の概要を示していますが、彼らはこれを達成するために、開発者のトレーニングを通じてサイバーセキュリティ人材の不足を補い、既存のAppSec専門家との関係を深め、責任とオーナーシップを育むポジティブなセキュリティ文化を構築する必要があることを理解しています。

なぜ金融業界にはサイバーセキュリティの「Xファクター（未知の成功要因）」があるのか？

銀行、金融サービス、保険業界の企業がサイバーセキュリティの分野でリーダーシップを発揮できている背景には、いくつかの強固な柱が存在します。

世界の金融の門番として（言うまでもなく、数百万件もの極めて機密性の高いデータ記録を扱う）、彼らは当然ながらコンプライアンスを重視し、厳格に規制された組織です。最新のガイドラインや規制、要件は、計画的に、かつ有意義な形で取り入れられることが前提となっています。その結果、彼らはサイバーリスク軽減という進化し続けるニーズに水を得た魚のように適応し、最も厳格なサイバーセキュリティのベストプラクティスや、攻撃リスクを低減するためのエンドツーエンドのプロセスを誇っています。

では、金融機関は他と何が違うのでしょうか。私の経験上、彼らは他業界よりもセキュリティ意識を高めるための土台を築いており、AppSec専門家やペネトレーションテスターだけでなく、（通常は非常に大規模で世界中に分散している）開発チーム全体を対象とした包括的なトレーニングプログラムにリソースを割いています。

多くの組織でサイバーセキュリティが比較的新しい概念である中、金融機関が安全でセキュアなソフトウェアを提供するために、真にオープンで革新的な姿勢を持っていることは非常に新鮮です。多くの企業が、教室での座学にとどまらない、実践的で関連性の高い学習体験を通じて開発者のスキルを向上させる魅力的なトレーニングの利点を理解しています。これにより、開発者は単に問題を修正するだけでなく、セキュアコーディングの重要性を根本から理解できるようになります。

結局のところ、セキュアコーディングは、開発者とAppSecチームの間に強固で機能的な関係を築き、ビジネス内に堅牢なセキュリティ文化を維持するための重要な要素です。また、セキュリティプログラムを成功させるもう一つの鍵は、たとえセキュリティの専門家でなくとも、主要なステークホルダーを巻き込み、そのメリットを実感してもらうことにあります。

金融機関は経営層とのコミュニケーションを重視しており、セキュリティ対策は「一度設定すれば終わり」ではなく、使用する技術の進化やリスクの変化に合わせて迅速にアップデートし続ける必要があることを、意思決定者に深く理解させています。

導入時には時間とコストがかかりますが、コードに組み込まれた後の脆弱性を修正するコストは30倍にも膨れ上がるため、基礎からのトレーニングを含む包括的なセキュリティプログラムは、長期的にはコスト削減につながります。セキュリティ意識の高い開発者がコードを書く段階で問題を修正する方が、はるかに低コストだからです。

セキュリティ基準は、増大するリスクに追いつき始めています

金融業界におけるサイバーコンプライアンスを強力に推進しているのが、PCIセキュリティ基準委員会です。同委員会は、金融機関が実行可能なセキュリティポリシーを導入し、あらゆる領域でガイドラインを遵守できるよう支援し続けています。決済ソフトウェアにおいて、この業界が最高水準のセキュリティを達成する上で、同委員会は大きな役割を果たしてきました。

しかし、当社の金融業界のクライアントの多くは、現在のPCIセキュリティ基準委員会のガイドラインを上回る成果を上げています。ガイドラインでは開発者へのトレーニングが推奨されていますが、（他の規制情報と同様に）トレーニングが有効であることを示すための具体的な手法や基準までは明示されていません。

SQLインジェクションやクロスサイトスクリプティング（XSS）といった多くの脆弱性が20年以上も存在し続け（2019年現在も問題を引き起こしています）、すべてのトレーニングが同等に効果的とは言えないことは明らかです。実践的でゲーミフィケーションを取り入れたセキュアコーディング研修を導入することで、銀行や金融サービス企業は、悪用されれば甚大な被害をもたらす脆弱性を大幅に削減し、より良い成果を上げています。

好例として、米国の金融機関であるキャピタル・ワンは、革新的な「Tech College」および認定システムの一環として、ゲーミフィケーションを用いたトレーニング手法を活用しています。サイバーセキュリティ＆クラウドコンピューティング教育担当ディレクターのラッセル・ウルフ氏は、最近のウェビナーの中で、この自主的なトレーニングプログラムやコーディング大会は急速に普及し、認定取得や同僚のスキルアップ支援に対する前例のない需要と自発的な意欲が生まれていると述べています。

規制当局は、サイバーセキュリティ人材が適切に訓練されていることを保証するために何ができるでしょうか？

世界各国の規制当局は、データ保護の責任者が満たすべきトレーニング手法や基準を明示することで、既存のサイバー規制ポリシーやガイドラインをさらに強化できます。現状では、ほとんどの規制ポリシーでトレーニング要件が一般的に言及されているものの、指定されたトレーニングを受けた人々が、サイバー脅威との戦いに真に役立つ内容や技術を習得しているかを確認するフォローアップはほとんど行われていません。

しかし、シンガポール金融管理局（MAS）が最新の技術リスクガイドラインにおいて、セキュリティ意識向上トレーニングプログラムの採用とセキュアなソフトウェア開発のベストプラクティスを盛り込んだことは心強い動きです。このガイドラインが施行されれば、金融機関はソフトウェア開発者に対し、開発時にセキュアコーディング、ソースコードレビュー、AppSecテスト基準を適用するよう訓練することが義務付けられ、バグや脆弱性の最小化に大きく貢献するはずです。

私にとって、開発者グループに実践的で現実的な技術を訓練することは、彼らの業務にとって最も魅力的かつ関連性が高く、手遅れになる前にすべての組織が構築すべき強固なセキュリティ文化の礎を築くものだと考えています。