プロアクティブな保護：国家サイバーセキュリティ戦略を活用した高度な脅威防止

本記事は、Forbes Technology Councilに掲載された内容を転載し、更新したものです。

‍

2022年に流出したデータ件数はどのくらいだと思いますか？約5億件と予想したなら、あながち間違いではありません。公開されている侵害データに基づくと、昨年だけで約4億8,014万3,23件の記録が盗まれましたが、実際の数はさらに多いと考えられます。いずれにせよ、これは一般市民にとっては衝撃的な統計であり、企業のセキュリティ専門家にとっては非常に懸念すべき事態です。

先進国のほとんどの人が、サイバー攻撃によって個人データの一部を犯罪者に奪われた経験があるであろう現在、各国政府がオンライン犯罪の横行を食い止めるための解決策を模索するのは当然のことです。その最新の取り組みが、バイデン政権による国家サイバーセキュリティ戦略であり、私は強い関心を持って見守っています。この戦略には、私が最近最も注目しているトピックの一つである「セキュリティの責任」に関する指針が含まれています。

CISAのサイバーセキュリティ・インフラセキュリティ担当ディレクター、ジェン・イースタリー氏による重要なプレゼンテーションを経て発表されたこの戦略は、セキュリティコミュニティ内で当然ながら議論を呼んでいます。しかし、私はこれがソフトウェアの基準を全面的に引き上げ、セキュリティスキルを備えた開発者の新時代を切り拓くための最良の機会であると確信しています。

ベンダーは常に、安全でないソフトウェアに対して責任を負うべきでした。

ソフトウェアセキュリティの責任の所在は、何十年もの間、どのチームも引き受けたがらない「熱いジャガイモ」のような存在でした。経営陣と現場チームの間では、誰が最終的な責任を負うべきかについて激しい意見の相違があります。Venafiのレポートによると、IT幹部の97%がソフトウェアのビルドプロセスは十分に安全ではないと認めているものの、セキュリティのベストプラクティスを実践する責任が誰にあるかについては見解が分かれています。幹部の61%はITセキュリティチームが責任を負うべきだと回答し、31%は開発チームが担うべきだと回答しました。さらに、オープンソースやサードパーティ製コンポーネントの利用は攻撃対象領域を常に拡大させています。AppSecチームとセキュリティチームの間でさえ、更新、監視、テストを継続的に行う必要がありながら、明確な「責任者」が存在することは稀です。

また、同調査では、ソフトウェアのセキュリティと整合性に対する責任の所在を巡る内部対立にもかかわらず、幹部の94%が、ビルドパイプラインを脅威から保護できず、顧客やエンドユーザーを危険にさらしたソフトウェアベンダーには罰則を科すべきだと考えていることも明らかになりました。

2016年の壊滅的なサイバー攻撃への対応を誤ったことに関連したUberのCISOの最近の訴追や、GDPRのような規制の動きにより、セキュリティを軽視して火遊びをするベンダーに対するリスクは徐々に高まっています。しかし、これだけでは不十分です。私たちはサイバー犯罪者との戦いに負けており、受け入れがたい事実ですが、彼らが活動を拡大できるのは、ソフトウェアベンダーのずさんな慣行があるからです。

国家サイバーセキュリティ戦略は、ソフトウェアのセキュリティが不十分であることの全責任をベンダーに負わせることで、責任のなすりつけ合いに終止符を打とうとしています。

内容を見てみましょう。

戦略目標3.3 — 安全でないソフトウェア製品およびサービスに対する責任の転換：

「あまりにも多くのベンダーが、安全な開発のためのベストプラクティスを無視し、安全でないデフォルト設定や既知の脆弱性を抱えた製品を出荷し、出所が不明または未検証のサードパーティ製ソフトウェアを統合している。

私たちは、ソフトウェアを保護するために合理的な予防措置を講じない組織に対して責任を転換し始める必要があります。もちろん、最も高度なセキュリティプログラムであっても、すべての脆弱性を防ぐことはできないという認識は必要です。」

これには当然ながら反発の声も上がっています。しかし、多くの業界で基準や規制が策定される際の重要な局面と同様に、これはより良い長期的な結果を得るための、中期的には痛みを伴うプロセスです。私自身もソフトウェアベンダーとして、セキュリティに関しては最終的に私たちが責任を負うべきだという考えは理にかなっていると思います。ビルドパイプライン、プロセス、品質管理は私たちの責任であり、ミスがあればそれを修正する責任も私たちにあります。

それに、私たちは可能な限り最高品質のソフトウェアを作ることを目指すべきであり、セキュアコーディングは成功を定義する指標の一部であるべきです。スピードが何よりも優先される世界でこれを達成するのは困難ですが、未来を導くセキュリティリーダーには、ソフトウェア開発プロセスに関わる全員、特に開発者が、自身の役割においてセキュリティのベストプラクティスを実践できるよう、適切なトレーニングを提供することが求められています。

私たちは依然として、長期的なベストプラクティスに関する指針を欠いています。

戦略目標3.3では、一般的なベストプラクティスの基礎として、確立されたNISTのセキュアソフトウェア開発フレームワークに言及しています。これらは包括的で網羅的なガイドラインです。そこでは「組織レベルで安全なソフトウェア開発を実行できるよう、組織の人材、プロセス、技術を準備すること」の必要性が明記されていますが、例えばセキュリティ意識向上マネージャーがイネーブルメントソリューションを選択する際に考慮すべき要素については、具体的な指示がありません。

このアプローチを真に革新的なものにするには、開発者をセキュリティプログラムに不可欠な存在と見なし、スキルを向上させ、脆弱性の検出と根絶の責任を共有するあらゆる機会を与えるべきです。超文脈的で関連性の高い学習やツールがなければ、また、それを継続的なスキル開発の道筋ではなく、年次コンプライアンスの演習と見なすようでは、測定可能な成果を上げることはできません。

開発者はセキュリティという難問を解くための強力なピースであり、セキュリティスキルを備えた開発者チームは、ほとんどの組織において欠けている要素です。彼らはセキュリティを維持しながらスピードを両立させることができますが、それはチームの能力を引き出すために時間とリソースを費やした場合に限られます。そうでなければ、世界中のあらゆる一般的なベストプラクティスガイドラインも、状況を改善することはできないでしょう。

ソフトウェアセキュリティの理想郷への長い道のり。

バイデン政権はCISAに30億ドルの資金提供を約束し、重要インフラ全体で迅速なレジリエンスの実現を目指しています。政府最高レベルからの資金提供と支援は不可欠ですが、脅威を未然に防ぐためには、セキュリティ文化の物語を書き換えるための世界的な取り組みが必要です。

先は長い道のりですが、それはすべてのソフトウェアベンダーが、組織レベルでのセキュリティ責任に向けて最初の一歩を踏み出すことから始まります。