AIとプロアクティブな対策を活用した、脆弱性アラートの効果的な管理

先日、弊社CTOのMatias MadouとMend.ioのSharon Kochevsky氏を迎え、「脆弱性アラートへの主体的な取り組み」をテーマにしたウェビナーを開催しました。セッションでは、セキュリティ脆弱性アラートを扱う上での課題と解決策について掘り下げています。見逃してしまった方のために、対談の重要なポイントをいくつかご紹介します。もちろん、ウェビナーの全編は現在オンデマンドで視聴可能です。

AIがセキュリティに与える影響

Matiasは、AIによるセキュアなソフトウェア開発の現状を、自動運転車に例えて説明しました。自動運転車は技術的には自律走行が可能ですが、路上では依然として問題に直面します。例えば、未知の状況に遭遇した際に急ブレーキをかけてしまうようなケースです。問題が発生した際には、人間の技術者が対処しなければなりません。同様に、開発者がAIを盲信すれば、コードの誤りや脆弱性が入り込む可能性があります。

AIからより良いアウトプットを得るためには、AIモデルを学習させるための良質なコード例を継続的に提供する必要があるとMatiasは強調しました。AIは現在、汎用的なフレームワークではうまく機能しますが、数百万行のコードで構成される実世界のアプリケーションでは、まだ力不足な面があります。

さらに彼は、経験豊富な開発者は生成AIを活用してコーディングを加速できる一方、十分なトレーニングを受けていない開発者がAIを使うと、欠陥のあるコードを高速でコピー＆ペーストしてしまい、脅威となる可能性があると指摘しました。

プロアクティブな姿勢への転換

議論の焦点の一つは、プロアクティブな行動への転換でした。Sharon Kochevsky氏は、企業やAppSecプログラムにおいて、セキュリティレポートに終始するリアクティブ（反応的）なアプローチではなく、実際のコード修正を伴うプロアクティブ（先取的）なアプローチをとるべきだと提唱しています。Matiasと同様に、単なる管理業務を超えて、実質的な成果に注力することの重要性を強調しました。また、レポート作成の主要分野や、リアルタイムダッシュボードと課題追跡機能を備えたセキュリティ製品の活用についても議論されました。

ギャップを埋める

SharonとMatiasは、開発者とセキュリティマネージャーの間の断絶という、解決すべき重要な課題を指摘しました。現在、多くの組織がこのギャップを埋めるために「セキュリティチャンピオン」を配置しています。これはエンジニアリングチーム内にいるセキュリティの専門家であり、プロアクティブなセキュリティ対策を推進する役割を担っています。

言うまでもなく、今回の議論はほんの一部に過ぎません。進化し続ける業界において、継続的な対話と関与は不可欠です。詳細を知りたい方、またはセッションの録画をご覧になりたい方は、現在オンデマンドで公開中です。

‍