セキュリティプログラムがインシデント対応に偏っていませんか？それでは不十分です。

本記事は、Forbes Technology Councilに掲載された特集記事を基に、更新・転載したものです。

‍

データ侵害の被害に遭うことほど、恐ろしいことはありません。最初は否定し、次にパニックに陥ります。罵詈雑言を吐き出し、CISOが午前2時に広報担当者と電話会議を終えたら、次は袖をまくり上げてエンドポイントやシステムの保護に取り組み、潜在的な攻撃経路を迅速に排除しなければなりません。言うまでもなく、決して楽な作業ではありません。

しかし、これは将来多くの組織が直面する現実であり、包括的なサイバーセキュリティインシデント対応計画を立てて備えておくことが不可欠です。問題は、多くの組織がこうした事後対応型の戦略に時間、リソース、労力を集中させてしまい、サイバー攻撃を未然に防いだり、被害を最小限に抑えたりするための取り組みが後回しになっていることです。これは、心臓発作の疑いで救急車を呼ぶようなものです。手遅れになる前に予防措置を講じていた場合と比べ、結果は往々にして芳しくなく、被害も甚大になります。

では、予防的な計画とはどのようなものでしょうか。セキュリティの専門家が、日々増大するサイバーリスクを軽減するために、手持ちのツールをどのように活用できるかを探ってみましょう。

今後取り組むべき作業の範囲を把握する

当たり前のことのように思えますが、サイバーリスクを軽減するための「正しい」計画は業界によって微妙に異なります。望ましい結果を得るために何が必要かを事前に理解しておくことが重要です。

現在どのようなセキュリティ上の問題が存在するのか？それらにどれだけの時間とリソースが割かれているのか？繰り返される問題はどれくらいあるのか？これらは重要な要素であり、計画の出発点となります。エンドポイントを保護し、攻撃対象領域を縮小し、潜在的なリスクを先回りして排除するために、どのような役割が必要か、どのようなツールが不足しているか、そして専門知識やツールの観点から何が必要かを検討してください。

ある最新のレポートによると、11の業界において、過去1年間に毎日、アプリケーションの少なくとも半分で深刻な脆弱性が確認されました。特に公益事業、行政、専門サービス業界では、既知の脆弱性にパッチを当てるまでに平均288日を要しています。これは非常に遅い対応であり、パッチが適用される前に攻撃者が脆弱性を発見すれば、深刻な被害を与えるのに十分な時間を与えてしまいます。データ侵害が発生する確率が30%に迫っているという事実と合わせると、事後対応だけでは不十分であり、大規模なサイバー攻撃の衝撃に備えて運を天に任せるには、あまりにもリスクが高すぎるということを痛感させられます。

組織文化を変えるための承認を得る準備をする

現状を打破しようとすれば反発を招くこともありますが、セキュリティプログラムは常に改善し続けるべきものです。すべてのコンポーネントは最新の状態に保たれ、新たな動向を評価して取り入れていく必要があります。

セキュリティチーム以外では、事後対応ではなく予防を重視するアプローチの重要性が十分に理解されていない可能性があります。特に、深刻なセキュリティインシデントが発生していない場合はなおさらです。「壊れていないなら直す必要はない」と見なされるかもしれません。このような場合、経営陣の承認を得ることが不可欠です。経営陣が考慮すべき重要なポイントは以下の通りです。

• 役割ベースのトレーニングや関連ツールなどの予防措置にかかる時間とコストの削減（重大なインシデントが発生した場合の潜在的なコストと比較して）
• 脆弱性を早期に発見・修正することで、セキュリティチームによる作業の遅延を防ぎ、リリースを予定通りに進められる理由
• 開発チームからリリースに至るまで、潜在的なセキュリティリスクを予測して準備することが、全体としていかに時間（そして多額の費用）を節約できるか。視点を変えると、テスト段階、あるいはそれ以降のプロダクション環境で発見された脆弱性は、コストを平均で最大3000%も押し上げる可能性があります。
  

提案する文化的な変革が、たとえ最初は受け入れがたいものであっても、ビジネス目標と一致していることが極めて重要です。

セキュリティ意識は重要だが、セキュリティスキルこそがすべて

業界として、私たちはセキュリティ意識の重要性について頻繁に語ります。これは組織の全スタッフにとってますます重要な要素となっています。しかし、特に技術職に就いている人に対しては、口先だけの意識向上や受動的なトレーニングだけでは不十分です。

簡単に言えば、コードに触れる人は誰でも、安全にコーディングするスキルを身につけていなければ、潜在的なセキュリティリスクとなります。基本的なセキュリティパラメータに対する一般的な認識を持つことは良い第一歩ですが、優れた安全なコーディングパターンに関する文脈的な知識がなければ、悪い習慣が定着してしまいます。攻撃者が悪事を働くために頼りにしているのは、まさにこうした開発スキルの欠如なのです。

開発者を軽視してはいけません。

意識は変化しつつありますが、多くの組織では、セキュリティ対策計画において開発者が真剣に考慮されることはほとんどありません。銀行や金融などの一部の業界では、厳格なコンプライアンスや規制要件があり、全スタッフに対して高度なセキュリティ慣行やトレーニングが実施されています。他の業界よりも一歩先んじてはいますが、地球上のほぼすべての組織は、一般的なセキュリティバグをコミット前に見抜く能力を備えた、セキュリティ意識の高い開発者集団を社内に持つことで恩恵を受けるはずです。ほとんどの組織は、セキュリティプログラムというパズルのこの重要なピースを完成させるには程遠い状況にあります。年々増大する膨大なコードを保護したいと願うのであれば、この取り組みは避けて通れません。

予防的なセキュリティは、ソフトウェア開発の開始時点から組み込まれるべきですが、セキュリティスキルの不足を開発者だけで補うことは困難です。より高いコード品質を実現するには、適切なツールと状況に応じたガイダンスが不可欠です。また、年次のコンプライアンス対応として場当たり的に導入するのではなく、日々の業務プロセスに自然に組み込むことで、最良の結果が得られます。