貴社のセキュリティプログラムは、CISAのサイバーセキュリティ戦略計画に対応できていますか？

この記事の一部は Forbes に掲載されたものです。本稿では、その内容を更新し転載しています。


‍サイバーセキュリティ戦略計画は、多くの組織のサイバーセキュリティへの取り組み方に大きな変革を迫るものであり、開発者はこれらの新たな目標を達成する上で独自の役割を担っています。

‍

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、2018年の設立以来、米国の重要インフラやコンピューティングネットワークの保護に貢献してきただけでなく、その影響力と専門知識は世界中に広がっています。同庁が提供する包括的なアドバイス、セキュリティ勧告、脆弱性レポート、そしてサイバーセキュリティプログラムは、実践的なベストプラクティスの世界的な基準となっており、今回発表された「CISA 2023-2025戦略計画」が世界のサイバーセキュリティ領域においていかに重要であるかを裏付けています。

CISAの影響力と成果は、設立からわずか数年という期間を考慮すれば、他の政府機関が成し遂げてきたものをはるかに凌駕しています。これは、脅威の状況が指数関数的に拡大し、攻撃者が侵害や悪用を試みるスキルを向上させているという事実と無関係ではありません。CISAは、サイバー犯罪者やその他のいわゆる脅威アクターとの戦いにおいてリーダーシップを発揮し、トレンドを体系的に追跡しながら、サイバーセキュリティのベストプラクティスについて助言を行っています。

しかし、同庁は有益な助言やガイダンスを提供してきた一方で、今後数年間のサイバーセキュリティの取り組みの全体的な方向性を定める戦略計画を策定したことはこれまでありませんでした。これは単なる計画ではなく、多くの組織が研究し、最終的に実装すべきマイルストーンです。この計画がサイバーセキュリティへのアプローチの抜本的な変更を求めているため、そのガイダンスに従うことは困難に思えるかもしれません。しかし、適切なサポート、ツール、スキルアップの機会が提供されれば、開発コミュニティは大きな力となるはずです。

世界のサイバーセキュリティのベストプラクティスに変化の兆し

一見すると、CISAの戦略計画にはある種の苛立ちが感じられるかもしれませんが、CISAは単に「これまでと同じことを続けていては、同じ結果しか得られない」という事実を認めているに過ぎません。サイバーセキュリティを向上させるには、現在使用されているソフトウェアやアプリケーションを開発する企業を含め、全体的な変革が必要です。

ソフトウェアに責任の一端を求めるという考え方は、以前から導入されていました。実際、米国の国家安全保障戦略には、「不十分なソフトウェアセキュリティは、デジタルエコシステム全体にわたるシステムリスクを大幅に増大させる」と明記されています。CISAの戦略計画は、その難題に取り組み、解決するための新しい戦略を提示しています。

CISAが提唱するサイバーセキュリティにおける最大の変革は、ソフトウェア開発者に対して安全な製品を出荷するよう求めることです。セキュアコーディングのベストプラクティスが確立され、実施されれば、攻撃者が悪用できる脆弱性、特に重大な脆弱性は大幅に減少します。もちろん、見落としが発生する可能性はゼロではなく、発見と修正には継続的な努力が必要ですが、これは毎日何百もの脆弱性が検出され、防御側が疲弊している現在の状況に比べれば、はるかに管理可能な課題です。CISAは計画の中で、ソフトウェアやその他の技術を製造する者は、自社製品のセキュリティに対して責任を負う必要があると明確に述べています。

「社会として、すべての技術製品がリリースされた瞬間に脆弱であり、セキュリティの過大な負担が個々の組織やユーザーに課せられるモデルを、これ以上受け入れることはできません」とCISAの戦略計画は述べています。「技術は、市場に投入される前に悪用可能な欠陥を最小限に抑えるよう、設計、開発、テストされるべきです。」

同計画は、将来的にはこの新しいアプローチが単なる提案にとどまらない可能性を示唆しており、CISAは「組織のリーダーのリスク決定に影響を与えるために、利用可能なあらゆる手段」を行使するとしています。また、現在サイバーインシデントの報告を規定している「2022年重要インフラサイバーインシデント報告法（CIRCIA）」のような法律が、これらの新しい規制への自主的なコンプライアンスを、将来的には義務的なものへと移行させるモデルとして機能する可能性も示唆しています。いずれにせよ、現在ソフトウェアやその他の技術を製造しているほとんどの企業にとって、この新しいガイダンスを支持することは有益でしょう。

CISAのガイダンスは重要な機会を提示している

組織は、さらなる規制の可能性に不安を感じるのではなく、CISAの戦略計画をより高品質なソフトウェアを目指すための機会として捉えるべきです。これは単なるコンプライアンスの要請ではなく、開発者がスキルを磨き、より安全なデジタル環境に貢献するチャンスです。最終的に、安全なソフトウェアを製造することは、製造企業、それに依存するユーザー、そしてそのソフトウェアやアプリケーションによってデータがアクセス・保存される人々を含む、すべての人にとって有益です。ソフトウェアやアプリケーションの大部分を構成するコードが、本番環境に投入される前に可能な限り安全になれば、最終的に損をするのは攻撃者だけです。

この新しい方向性を踏まえると、すべてのコードを記述または調達する組織の開発者が、より安全なコーディングの実装やCISA計画への準拠に向けた取り組みを開始するのに最適な存在であることは理にかなっています。しかし、開発者は組織の他のメンバー、特に経営陣のサポートなしに単独でこれを行うことはできません。脆弱性を理解し、セキュアなコードの書き方を学び、本番環境に到達するずっと前に問題を認識できる開発者を育成することが、組織がコードの出荷に責任を持ち、CISAが言うところの「敵対者が悪用する前に脆弱性を発見し修正する」ことを確実にする鍵となります。

留意すべき重要な点は、開発者に必要なトレーニングはかなり高度なものであるということです。一貫してセキュアなコードを書く能力を習得することは困難な取り組みであり、チェックリスト形式のコンプライアンス対策では到底対応できません。開発者が新しいCISA計画で求められるセキュリティレベルを維持するために必要なスキルを確実に身につけるには、全体的なセキュリティ意識向上プログラムの一環として、実践的で理解しやすく、継続的な学習成果を提供する高度でアジャイルな学習手法が必要です。

理想を言えば、CISA計画に向けたスキルアップには、アジャイル開発の原則など、開発者が日常的に使用している高度な手法やプログラムを組み込むべきです。例えば、アジャイル開発では、作業を管理可能な単位に分割し、スプリントを継続的なサイクルで重ねていきます。アジャイルの実践を取り入れた優れた教育プログラムは、開発者がCISA計画をサポートするために必要なスキルを迅速に習得する助けとなり、ほぼ即座にメリットを実感し、より安全なコーディングを開始できるようになります。

幸いなことに、ほとんどの開発者はセキュアコーディングの実践を支持しており、組織が新しいCISA指令に準拠できるよう協力したいと考えています。世界中で活動する1,200人以上のプロの開発者を対象とした調査では、圧倒的多数がセキュアなコードを作成し、組織内でより良いセキュリティ文化を確立するという考え方を支持すると回答しました。

開発者には、的確な教育プログラムと十分なサポートが必要です。組織がこれを提供できれば、コードの安全性が高まるだけでなく、CISAの新しいサイバーセキュリティ戦略計画で示された指針を遵守、あるいは上回る取り組みにおいて、他社の一歩先を行くことができるでしょう。

セキュリティ文化のこのような転換は容易ではありませんが、サイバーセキュリティのあり方を変え、私たちの生活を豊かにするテクノロジーが、悪意ある攻撃者に絶えず悪用されることのない世界を築く絶好の機会でもあります。私たちには攻撃を阻止する力があり、CISAの計画はその素晴らしい、そして最終的に達成可能な目標への有望な道筋を示しています。