自社のセキュリティ成熟度を過大評価していませんか？

本記事は Dark Reading に掲載された記事を更新し、転載したものです。


多くの企業が成長、イノベーション、デジタルトランスフォーメーションの波の中で舵取りをする中で、組織の拡大に伴い、一部の領域が未完成のままになるのは自然なことです。これはサイバーセキュリティプログラムにおいて特によく見られる現象であり、セキュリティリーダーは新たな脅威や脆弱性、技術革新によるリスク増大に対して、常に一歩先を行こうと苦闘しています。

しかし、慢性的なスキル不足が世界中のソフトウェア需要を満たすための膨大なコード作成と矛盾する中で、多くの企業がサイバーセキュリティ戦略や既存のインフラ整備で後れを取っています。また、業界全体がツールベースのアプローチに固執するあまり、機能的な防御プログラムにおいて、熟練した人材が持つ力が軽視されがちです。

今こそ、自社のサイバーセキュリティ成熟度を客観的に見つめ直し、目の前にある実現可能な改善策を評価すべき時です。

持続可能なサイバーセキュリティの成熟は、一つのプロセスです。

世間一般では、すべての企業が強固なサイバーセキュリティプログラムを備えており、適切なソフトウェアを選んで盾のように有効化すれば脅威を阻止できると考えられがちです。2022年はサイバーインシデントが過去最悪の年となり、コスタリカ政府全体がランサムウェアの被害に遭うといった事態も発生しましたが、多くのセキュリティ専門家は、現実はそれほど単純ではないと痛感しています。

金融業界をはじめとする多くの業界では、コンプライアンス主導で、厳格なセキュリティ対策を求める複雑な規制枠組みに縛られていますが、現実には、ほとんどの組織でサイバーレジリエンスが不足しています。世界の大企業の半数以上が、サイバー攻撃を効果的に阻止できておらず、悪用された脆弱性の発見と修正も迅速に行えていません。

人、プロセス、技術という「三位一体」のベストプラクティスを備えた、成熟したプログラムを持つ先進的な組織でさえ、急速に変化する脅威環境の要求についていくのに苦労しています。多くの企業が不足している重要な領域の一つが、役割に応じたセキュリティ意識の向上、特に開発チームに対するものです。組織の全員が攻撃対象領域を減らす役割を理解する必要がありますが、日々コードと向き合っている開発者こそが、セキュリティへのアプローチを根本から変える鍵を握っています。彼らが適切なスキルを身につければの話ですが。

包括的な防御セキュリティプログラムには継続的な改善が不可欠であり、強固な基盤を築くために細心の注意を払う必要があります。もしその基盤がツールに依存しすぎているなら、成熟度はセキュリティリーダーが期待するレベルに達していない可能性が高いでしょう。Ponemon Instituteの調査によると、企業の53%が自社のセキュリティ技術スタックで侵害を効果的に阻止できると確信していません。また、人為的ミスが主要な原因となって大小さまざまな企業がサイバー攻撃を受けている現状において、開発者を戦略的なセキュリティ強化から除外することは、火遊びに等しい行為です。

開発者をソフトウェアセキュリティの卓越性を牽引する力にする

サイバー攻撃に関する不都合な真実は、どのようなセキュリティ成熟段階にある企業であっても、攻撃者が常に優位に立っているという点です。攻撃者は時間、ツール、動機を駆使して脆弱性を執拗に探し出し、突破口を開くことに全力を注ぎます。

一方、組織はビジネスや顧客のニーズに対応しながら、致命的なサイバー攻撃のリスクを回避しなければなりません。しかし、パフォーマンスを阻害しかねない過剰なセキュリティ対策を導入するために業務を停滞させることは現実的ではありません。ここで、セキュリティスキルを備えた開発者が、サイバー防御における「Xファクター（未知の決定的な要因）」となります。

これまで開発者がセキュリティの責任を分担する環境が整っていなかったことは周知の事実ですが、これは改善されなければなりません。組織は開発チームのために実現可能なスキルアップの道筋を作る必要がありますが、彼らの世界観に即した形で関連性の高い教材を提供することが重要です。少なくとも、彼らが実際に使用している言語やフレームワークに基づき、コードベースで遭遇しやすい脆弱性に対処する内容であるべきです。

開発者のワークフローを考慮してコースを構成すれば、一般的な脆弱性や設定ミスを引き起こす不適切なコーディングパターンを、安全で優れたパターンに置き換えられる可能性が高まります。これにより、時間の経過とともにソフトウェアの品質が大幅に向上します。低品質なソフトウェアによる米国での損失は、今年だけで2.41兆ドルに達しました。この損失を食い止めるには、リスクの高い技術的負債を増大させるエラーの連鎖を断ち切るしかありません。

より前向きで包括的なセキュリティプログラムには、組織全体での取り組みが必要です。人に関わる問題には、人の力を活用しなければ解決できません。明日のニュースの見出しを飾るような事態を避けるためにも、その努力は十分に報われるはずです。