退屈なPCI-DSSコンプライアンスを全員にとって有意義なものにする：第1部 - AppSec

組織におけるPCI-DSSコンプライアンスの成功をテーマにした2部構成シリーズの第1部です。本章では、AppSecスペシャリストが開発マネージャーと緊密に連携し、開発者を支援し、SSDLCを強化し、一般的な法規制から具体的な成果を得る方法を詳しく解説します。

「コンプライアンス」という言葉は、あまり心躍るものではありません。堅苦しく、無味乾燥で、指示的……。どこか制限されているような響きさえあります。もし色で例えるなら、ベージュといったところでしょう。そして何より、創造的な環境やイノベーションとは相容れないもののように思えます。

私自身も開発者ですが、「コンプライアンスを守る」という経験は、たいていの場合、ガイドラインを（縦に）読み流したり、プレゼンテーションを視聴したりすることでした。その後はすぐに機能の実装に戻り、顧客に使われ、愛されるソフトウェアを作ることに集中します。その場では誰もが理解できる範囲で記憶し（常に正しいことをしようとは努めますが）、コンプライアンスのガイドライン、特にセキュリティのベストプラクティスに関するものは、通常、開発者をターゲットとして書かれておらず、求められるアクションが不明確なこともあります。そのような状況では、現在のタスクや目標に集中し続ける方がはるかに簡単なのです。

しかし、セキュアなソフトウェア開発は、もはやどの企業にとっても「あれば良いもの」ではありません。あらゆる組織において、最優先事項であるべきです。もし膨大な顧客の機密情報を保持しているなら、その企業はサイバー攻撃の格好の標的となります。開発者はコードに直接触れる最初の人間であり、それゆえに、他のチームメンバーと同様に、セキュリティコンプライアンス対策に深く関与すべきなのです。

ですが、少し待ってください。これは、誰もが創造性のない硬直した開発やソフトウェアの成果に縛られるべきだという意味ではありません。ビジネスには、より高い水準のコードを共に作り上げる機会と力があるということです。世界は少しずつ、これまで開発者がセキュリティを優先するための適切なツールを十分に与えられてこなかったという事実に気づき始めています（そして、孤立したセキュリティスペシャリストだけでは責任を負いきれません）。しかし、業界がセキュリティを共通の責任とするDevSecOpsの未来へと向かう中で、適切な準備さえ整えば、開発者は繰り返される脆弱性の流れを食い止める助けとなるはずです。

PCI-DSSガイドラインは、私たちが日常的に利用するカード決済ゲートウェイのオンラインセキュリティコンプライアンスを網羅しています。これらのガイドラインは世界共通で適用されるものであり、実際、義務に沿った基準を維持するために開発者が何をすべきかを詳細に概説しています。また、eコマースビジネスの各側面に関する複数のコンプライアンス文書も併せて提供されています。

データ侵害は恐ろしく、企業の評判を失墜させるリスクであり、決して軽視できません。Cyber Security Venturesは、ゼロデイ攻撃が2021年には1日1件に達すると予測しており、これはソフトウェアデリバリープロセスに関わる全員が協力して戦うべき課題です。

PCI-DSSの推奨事項を分解し、チーム全体でどのように取り組めるかを見ていきましょう。

AppSecおよびコンプライアンスチームの皆さんへ：すべての開発者トレーニングが同じ価値を持つわけではありません

大規模（あるいは小規模）な組織であっても、開発者が業務で受けるトレーニングに対して意見を述べる機会はほとんどありません。優秀な人材を維持するために包括的なプログラムを提供する企業もありますが、それはまだ一般的とは言えません。セキュリティトレーニングの必要性は、単に退屈なコンプライアンス研修を始めるだけでなく、開発チームとの冷え切った関係を改善する絶好の機会でもあります。

PCIコンプライアンスの観点から見ると、決済ゲートウェイを運用するソフトウェアに期待される成果は明確です。他の目的の中でも、アプリケーションの堅牢化（悪意のあるコードインジェクションや改ざんを防ぐために不可欠）、最小権限の制御、一般的な脆弱性に対する十分な認識などが最低限求められます。カード会員データを扱うすべての担当者は適切なトレーニングを受ける必要があり、開発者にとって、そのトレーニングは開発プロセスの初期段階からセキュアなコードを書けるかどうかの分かれ道となります。

公式のPCI-DSSコンプライアンス維持のためのベストプラクティス文書には、セキュリティ意識、開発者のニーズ、適切なトレーニングに関する直接的な概念が詳細に記されています。例えば、以下のようなものです。

Copyright © 2006 - 2020 PCI Security Standards Council, LLC. All rights reserved.

これは、開発者に必要なスキルを身につけさせるための具体的かつ詳細なトレーニングについての洞察を与えてくれますが、特定の教育ソリューションが他よりも効果的であるとまでは示していません。「PCI-DSS開発者向けガイド」はもう少し踏み込んでおり、最も一般的な脆弱性を発見・修正するための学習ベンチマークとしてOWASP Top 10を挙げ、いくつかの認定プログラムについても言及しています。

しかし、ここに問題があります。職場のさまざまなトレーニングやコンプライアンスの取り組みからご存知の通り、その質や将来的な成功は大きく異なります。開発者に関して言えば、多くのセキュアコーディングトレーニングプログラムは、私たちのニーズや働き方、あるいは日々の業務に有意義な形で対応していないように見受けられます。このシナリオでは、すべてのトレーニングが同じ価値を持つわけではなく、すべてのトレーニングがよりセキュアなソフトウェアにつながるわけではありません。これはもちろん、あなたが望む結果とは正反対であり、あなた自身の仕事のストレスを軽減することにもつながりません。負担を減らし、一般的な脆弱性が潜在的な災害を引き起こすのを防ぎたいのであれば、架け橋を築く必要があります。

エンジニアリングマネージャーを味方につけ、セキュリティスキルのギャップを埋める

エンジニアリングマネージャーと直接連携し、現場のメンバーが納得して取り組める最適なソリューションを見つけることは、セキュリティ対策を成功させる近道です。マネージャーは自チームの状況を誰よりも把握しており、これまでコンプライアンス研修がうまくいかなかった原因（単に体験として面白くないという点以外にも）を具体的に指摘できるはずです。

集合研修やオンデマンド動画、一度きりの形式的なチェックリストでは、最新の状態を維持するのは困難です。これらは静的なソリューションであり、絶えず変化するサイバーセキュリティ業界のスピードには対応できません。最終的にエンジニアリングマネージャーが求めるのは、費やした時間に見合う価値です。全員の共通目標である「より安全でコンプライアンスに準拠したコード」を実現するために、彼らと協力して実行可能な選択肢を提供することが重要です。

では、優れた研修とはどのようなものでしょうか。一度に大量の情報を詰め込むような学習方法では、セキュアコーディングを習得するのは困難です。小分けにして段階的に学ぶプロセスであれば、記憶に定着しやすく、実際の業務にも応用しやすくなります。また、日常的に使用している言語やフレームワークに対応していることも不可欠です。私自身、やりがいのある課題を求めていますし、努力の目的を明確にしたいと考えています。誰もが忙しい日々を送っているのですから。

前述のPCI-DSSベストプラクティスに準拠しようとする際、選択するソリューションによっては、社内で使用されているあらゆる言語やフレームワークを網羅するために、複数のコースを継ぎ接ぎしなければならない場合があります。これでは管理が煩雑になるだけでなく、AppSecチームやコンプライアンスチームが、ソフトウェアのセキュリティ向上や脆弱性削減にどれだけ寄与しているかを評価することも困難になります。手っ取り早い結果を求めて不適切な選択肢に飛びつくのではなく、協力して最適なものを見つけましょう。さもなければ、継ぎ接ぎだらけの「フランケンシュタイン」のような研修ソリューションが出来上がってしまい、非常に恐ろしい事態を招きかねません。

PCI-DSSミニシリーズの第1部をご覧いただきありがとうございます。最終回となる次回は、CISOやCTOがどのように文化の変革を支援し、チームを活性化できるか、そしてセキュリティの最前線にいる開発者が、PCI-DSSへの意識向上とコンプライアンスをどのように自身のメリットに変えていけるかについて解説します。