退屈なPCI-DSSコンプライアンスを全員にとって有意義な活動に変える：パート2 - CISOと開発者の意識向上

組織におけるPCI-DSSコンプライアンスに関するミニシリーズの第2部です。最終回となる今回は、CTOやCISOがリーダーシップを発揮し、サイバーリスクを低減させながら、プロセスを円滑かつ成功に導く方法、そして開発者にとって少しでも楽しいものにする方法について詳しく解説します。（第1部を見逃しましたか？ こちらからご覧ください。AppSecスペシャリストがセキュリティ成果を向上させるために、この機会をどのように活かせるかをご紹介しています）。

PCI-DSSのベストプラクティスは間違いなく共通の責任ですが、CISOやCTOは、その大きな影響力を活かして、トップダウンで活気ある前向きなセキュリティプログラムを構築できます。彼らはサイバーセキュリティへの信頼とエンドユーザーの意識を象徴する存在であり、早期から意識向上に注力することは、強力な波及効果をもたらします。これにより、開発者やAppSecの専門家は、社内で強固なセキュリティ体制を構築するために必要な知識、ツール、サポートを得られるようになります。

コンプライアンスを維持することは重要ですが、全員がその「理由」を理解し、成果を実感し、適切な指導を受けることで、プログラムは単なる法規制を超え、組織の文化として定着します。

相互信頼の構築におけるCTOとCISOの役割

最近、Webサイトでクレジットカード情報を入力する際、ためらったことはありませんか？近所のピザ屋のオンライン注文サイトのような怪しげなWebアプリでない限り、特に大手企業や有名なオンライン小売店では、そのような経験はあまりないはずです。

もちろん、データ侵害が公表された場合は別ですが。

世界的な宿泊施設大手であるマリオットは、3年間で2度目となるデータ侵害を公表しました。今回は520万件の顧客記録が盗難に遭いました。現時点では支払い情報が含まれていた形跡はありませんが、2018年の壊滅的な侵害では、3億8300万人の顧客情報が流出し、500万件の暗号化されていないパスポート番号と800万件のクレジットカード番号が盗まれています。

マリオットブランドに対する顧客の信頼がすでに底をついていなかったとしても、まもなくどん底に達するでしょう。これはCISOが夜も眠れなくなるような事態であり、サイバー脅威との戦いにおいて、まるで格好の標的になったかのように感じてしまいます。エクイファックス、ヤフー、ソニー、ターゲットといった巨大企業でさえ、大規模な侵害に苦しんできました。これらは、数十億件のデータ流出、数千億ドルの損害、そして経済的基盤に致命的な打撃を受けたほんの一例に過ぎません。これは企業にとって大惨事であり（ターゲットは2014年の侵害後の四半期に4億4000万ドルの利益急減を報告しました）、ソフトウェアセキュリティは共通の責任であるべきという考えから、個人が直接的な責任を問われることは通常ありませんが、当時その組織で働いていた場合、輝かしい経歴に傷がつくことは避けられません。

決済情報や機密データ、そして「顧客からの信頼」という目に見えない資産を扱う組織において、コンプライアンスを達成するために強固なセキュリティプログラムを疎かにすることは、その企業がリスクにさらされているだけでなく、イノベーションにおいて深刻に遅れをとっている証拠です。

顧客と組織の関係における信頼の問題は、誰もが真剣に考えるべき課題です。

侵害後にIT部門、開発部門、セキュリティ部門が直面するストレスや混乱は言うまでもありませんが、信頼という要素は、新興企業の長期的な成功や、既存企業の継続的な成長において極めて重要です。信頼の喪失によって経済的な低迷に陥れば、当然ながら職を失うリスクも伴います。

PCI-DSS規制は企業に説明責任を課しており、前述の通り、これらの計画を無視することには甚大な影響が伴います。しかし、規制はそれを支えるセキュリティプログラムと、そこで働く人々がいて初めて機能します。真摯に取り組み、常に意識を高く持ち、模範を示すことで、あなた自身が非常にポジティブな形で際立つ存在となるでしょう。

意識こそがすべてです。

セキュリティ意識向上プログラムが機能していなければ、PCIコンプライアンスを維持しようとする試みはほとんど無意味になります。組織全体のセキュリティ意識は、ベストプラクティスガイドラインの最も重要な部分を構成しています。PCI-DSSでは、独自のトレーニングモジュールを提供しており、部門横断的な役割においてこれをどのように実装し、成功している企業がどのような取り組みを行っているかを示しています。

セキュアなソフトウェア開発の現在のゴールドスタンダードとしてDevSecOpsへの移行が進む中、セキュリティを共通の責任とすることが不可欠となっています。企業は、ベンダーや契約業者を含む全員がセキュリティ意識を持ち、ベストプラクティスに従うことを徹底するために、時間、資金、労力を費やす必要があります。

セキュリティ意識の高い開発者は、コンプライアンスを遵守する開発者です（そして、そこに到達するまでの道のりは退屈なものである必要はありません）

「認定」PCI-DSSコンプライアンス開発者になるための選択肢は、それほど多くありません。なぜでしょうか？おそらく、それは一度きりの作業で終わらせるべきものではないからです。

The OWASP organization is one of the best on the planet when it comes to learning how to thwart common vulnerabilities, and their Top 10 is formally listed in the PCI-DSS guidelines for developers. However, keeping security front-of-mind and honing skills takes time and continued effort. And nobody wants this to be uninspiring and a waste of effort.

組織において、前向きなセキュリティ文化は「あれば良いもの」ではありません。セキュリティを真剣に考えるのであれば、それは企業運営の日常の一部である必要があります。

開発者は、脆弱性を阻止する最前線にいます。彼らは、PCI-DSSコンプライアンスにおけるセキュリティの責務を果たすために必要なサポート、ツール、トレーニングを受けているでしょうか？

実際、適切なトレーニングとはよりシームレスなものです。講義のように感じるべきではなく、日々の業務に深く関連している必要があります。こうした実践的なトレーニングはスキルアップの機会であり、脆弱性を防ぎ、チームと協力してより高品質なコードを作成しようと考える開発者にとって、キャリア上の大きなプラスとなります。

今すぐセキュアコーディングのスキルを試してみませんか？ ミッションを選択してください。