NISTと共に歩む：サイバー防衛の未来に向けた、人間主導の私たちの姿勢

バイデン政権による最近のサイバーセキュリティ大統領令は、セキュリティ業界で大きな話題となっています。特に、日々の業務においてセキュアコーディングのベストプラクティスを実践することの重要性を開発者に理解してもらおうと取り組んでいる人々にとって、その関心はひとしおです。連邦政府が利用するソフトウェアに携わる開発者は、今回初めて、セキュリティスキルの証明と、新しく進化したガイドラインの遵守が義務付けられることになりました。

これはサイバー防衛の現状における前向きな変化であり、開発者の適切なスキルアップをようやく議論のテーブルに乗せるものです。これらの政策は米国政府中心のものですが、開発者からソフトウェアサプライチェーンのセキュリティ分析に至るまで、組織が現在のセキュリティ基準を見直し、向上させるための世界的な機会を提供しています。

NIST（米国国立標準技術研究所）は最近、HIPAA法などの次期改定に向けたパブリックコメントを募集しました。これは、当社の専門知識を結集し、より安全で効果的な「人間主導型」のサイバーセキュリティアプローチを提言する絶好の機会となりました。このアプローチは、組織がチームの力を最大限に引き出し、より大きな成果を上げる一助となるはずです。

専門家主導の組織である当社には、博士課程に在籍するPieter de Cremerや、技術諮問委員会の一員であるBrian Chess博士など、最も献身的で実績のあるサイバーセキュリティの専門家が在籍しています。私たちは3人で知恵を絞り、開発者のスキルアップとソフトウェア開発段階における予防的セキュリティへのアプローチが、今後のサイバーセキュリティ基準にどのようなプラスの影響を与え得るかを提言する文書をNISTに正式に提出しました。

開発者のための、セキュアな開発への道筋

脆弱性スキャンツールや監視、その他のセキュリティ自動化はますます普及しており、新しい大統領令やNISTのガイドラインにも盛り込まれています。これらは現代のセキュリティプログラムにおいて不可欠な要素となりつつありますが、歴史と現状が示す通り、スキャンツールはソフトウェアの脆弱性を効率的に発見することはできても、それ自体では脆弱性を減らすことも、開発当初からのセキュリティを向上させることもできません。

開発者の注意をそらし、ワークフローを停滞させる煩雑な技術スタックは、開発者がセキュリティから離反し、それをネガティブに捉えてしまう根本的な原因の一つです。しかし、技術だけでなく、言語、フレームワーク、プロジェクト固有の開発目標に合わせてカスタマイズされた「セキュアな開発への道筋」が用意されていれば、生産性を極力損なうことなく開発プロセスにセキュリティを組み込むことができます。これは、長期的に見て一般的な脆弱性を大幅に削減するための理想的なアプローチです。

NISTへの提言書の全文は、こちらからダウンロードしてください：

セキュアな開発プラクティスのための認定フレームワーク：（現在）欠けているピース

現在、セキュアコーディングのスキルとベストプラクティスを証明する正式な認定制度は存在しません。これは長年業界で見過ごされてきた問題であり、サイバー防衛の向上とセキュアな開発の未来にとって、この認定制度は不可欠であると私たちは考えています。

開発者を対象としたセキュリティトレーニングは数多く存在しますが、大規模なデータ侵害やサイバー攻撃、低品質なコードが後を絶たない現状を見る限り、それらはセキュリティ意識の高い開発者を育成できておらず、深刻化する問題に対処するための知識を十分に提供できていないと言わざるを得ません。

開発者のスキルアップには、日々の業務に関連し、文脈に沿った、短時間で（かつ頻繁に行える）ツールや教育が必要です。また、実際に使用している言語やフレームワークの既存知識を積み上げられるものであるべきです。汎用的なトレーニングでは不十分であり、この点は法律やNISTのような業界団体において明確にされる必要があります。

The NICE Framework is more than suitable to build out comprehensive certification guidelines that actively use methodologies that work, and are of most interest and relevance to developers, and their work. Aligning with this recognized institutional framework helps to standardize practices that truly make a difference, and provides more concrete pathways for organizations to follow. 

NISTへの2回目の提言書の全文は、こちらからダウンロードしてください：

サイバーセキュリティにおける「人」の要素は忘れられがちですが、繰り返される一般的な脆弱性といった人間が引き起こす問題には、人間による解決策を講じるべき時が来ています。何十年も前のバグにいつまでも足をすくわれるべきではありません。現状を変え、測定可能で前向きな影響をもたらすには、世界各国の政府による支援が必要です。
‍
開発者の認定準備はできていますか？当社にお任せください。ぜひ当社の学習プラットフォームをご覧ください。