たった1行のコード、100万ドルの代償

すでに稼働しているデバイスのコードをたった1行修正するのに、いくらかかるか想像できますか？数百ドルでしょうか、それとも数千ドルでしょうか？

Aviation Today誌によると、航空会社が機体のコードを1行更新するには100万ドルの費用がかかるそうです。これほど莫大なコストがかかるとなれば、システムを更新するために必要な手順を踏むには、よほどの理由が必要でしょう。この事実から、私はいくつかの要因について考えさせられました。

コストの内訳

記事には100万ドルの内訳は記載されていませんが、妥当な数字だと思います。私は航空ソフトウェア更新の専門家ではありませんが、航空会社がこの状況で強いられるであろう手順をいくつか推測することはできます。

まず、更新が必要となる欠陥や脆弱性を発見しなければなりません。引用された例は、米国国土安全保障省（DHS）がボーイング757型機に対して行った調査に基づいています。わずか2日間の作業でリモートハッキングに成功したという結果は、どの航空会社にとっても無視できないほど衝撃的なものです。

次に、ソフトウェア開発者が調査結果を分析し、新しいコードを作成して、安全な環境でテストを行い、問題が修正されたことを確認する必要があります。ここからが難関です。航空会社は脆弱性のある機体をすべて地上に留め置き、新しいコードを適用し、その機体で正常に動作するかテストした上で、商用飛行のための再認証を受けなければなりません。

airfleets.netによると、サウスウエスト航空は現在499機のボーイング737-700を保有しています。この特定の機種にセキュリティ上の欠陥が見つかった場合、どれほどの時間と資金が費やされるか想像してみてください。

航空業界だけの問題ではない

航空会社が当初から堅牢なセキュアコーディングの原則を採用すべきなのは明らかです。少し考えてみると、同様のコストが発生しうる業界や状況は他にも数多くあります。ハッキングによる脆弱性で飛行機が墜落する心配だけでなく、ペースメーカーのような医療機器についてはどうでしょうか？命を救う電子機器を50万台も回収して更新するには、いくらかかるのでしょうか？

自動車業界でも、自動運転車に関するセキュリティの懸念が絶えず議論されています。しかし、私たちが普段乗っている「一般的な」車両でさえ、かつてないほどインターネット接続に依存しており、それが直接的に厄介な――ある意味では興味深い――安全上の懸念につながっています。

デバイスやシステムがリリースされた後、あるいは大量生産される前に更新を行うには、開発の初期段階からセキュリティを組み込むよりもはるかに多くの費用、労力、時間がかかるのは明白な事実です。それにもかかわらず、防ぐことのできたはずのソフトウェアの欠陥やサイバーセキュリティの脆弱性が日々新たに発生しています。これは、企業がセキュアなソフトウェア開発を開発文化に組み込む方法を模索する必要性を浮き彫りにしています。

航空電子機器のコードを1行変更するには100万ドルの費用と1年の期間を要します。ボーイング737型機を主力とするサウスウエスト航空にとって、737型機のシステム特有のサイバー脆弱性が発見されれば、それは「破産」を意味するでしょう。

‍