ソフトウェアセキュリティは無法地帯と化しており、それが致命的な事態を招こうとしています

初出：CSO Online

（セミリタイアした）エシカルハッカーであり、セキュリティ専門家、そして根っからのコンピュータオタクである私は、テクノロジーに対して強いこだわりを持っています。それがどのように作られ、何を行い、私たちの生活をどのように改善し、効率化するのか。私は常にデバイスの「内部」を覗き込み、最高（そして最悪）のコードの例を目の当たりにしてきました。最近では、自宅のエアコンがAndroidアプリで遠隔操作できる仕組みを調べました（WiFiネットワーク上の誰でも認証なしで操作できると知った時の驚きは、想像にお任せします）。

ソフトウェアのセキュリティは、私にとって常に最優先事項です。私たちがデジタル化し、個人情報を共有するライフスタイルを送る中で、現実に存在する危険性も同様です。結局のところ、私たちは規制も監視もなく、見て見ぬふりをされている領域にいます。まさに「西部開拓時代」にいるようなものです。

社会全体として、私たちは日々利用しているテクノロジーの「内部」を覗き込もうとはしていません。『ミスター・ロボット』のような人気ドラマが一般の意識向上に一役買っているとはいえ、私たちはセキュリティに対する意識が低いのが現状です。実際、私たちが購入し利用する無数のアプリケーションやサービス、そしてコネクテッドデバイスに組み込まれたソフトウェアがどれほど安全なのか、ほとんどの人は知りません。それらを本質的に信頼しているわけではなく、単に何も考えていないだけなのです。

ソニーのPlayStation Network（PSN）、チケットマスター、Yahoo!、Facebook、ターゲット。これら広く利用されている企業はすべて、データ侵害の被害に遭っています。彼らのソフトウェアの脆弱性が突かれ、何千万人もの顧客記録が流出しました。これらの例は、過去10年間に世界中で発生した侵害のほんの一部に過ぎません。これらは、悪意ある者が私たちの貴重な情報を盗むことを許してしまう、ソフトウェアセキュリティの欠如による高くつく代償なのです。

データ侵害について考えるとき、多くの人は情報セキュリティの侵害を思い浮かべます。それは侵害された企業にとっては悪夢であり、個人情報が流出した人々にとっては不便なことだと理解されていますが、実際、何がそんなに大問題なのでしょうか？セキュリティが無視され続けた場合、本当にそれほど大きな結果を招くのでしょうか？これまでのところ、それほど重大なことは起きていません。データ侵害は責任を負う企業に深刻な影響を与えますが、それは彼らの問題ですよね？彼らはビジネスを失い、消費者の信頼を失う。最終的にそれを解決し、損害を賠償するのは彼らの仕事なのですから。

ソフトウェアのセキュリティは、すべての組織が優先すべき事項です。

開発チームを抱えるすべての組織にとって、ソフトウェアセキュリティが最優先事項ではないのには、非常に単純な理由があります。まだ十分な数の人が命を落としておらず、リスクに対する知識も不足しているからです。

不謹慎でしょうか？そうかもしれません。しかし、これが偽らざる真実です。規制や構築基準、そして法律を変えるような注目は、（例えば政府機関などから）現実的な人的被害が発生した時に初めて向けられるのです。

橋を例に挙げてみましょう。土木技師（何百年もの歴史を持つ職業）は、橋を建設する上で安全性を核心的な要素と考えています。彼らのアプローチは、美観や基本的な機能性をはるかに超えています。建設されるすべての橋は厳格な安全規制を遵守することが求められ、土木工学の専門家も社会全体も、時間をかけて高いレベルの安全性を期待するようになりました。今日、安全要件を満たさない橋は危険で利用できないものとみなされます。これは、ソフトウェア工学においても私たちが到達しなければならない進化の過程です。

より現代的な例として、玩具業界を見てみましょう。1950年代には、戦後のベビーブームにより玩具の生産と販売が急増しました。興味深いことに、この時期には玩具に関連する事故で救急外来を受診するケースも増加したと報告されています。玩具の矢が目の怪我を引き起こし、小さな玩具（や大きな玩具から外れた部品）が誤飲され、少女向けに販売されていた玩具のオーブンは、家庭用の通常のオーブンよりも高い温度に加熱できるものがありました。

当時はまさに「西部開拓時代」であり、最も悲惨な状況下での孤立した販売禁止や製品回収を除けば、ほとんど規制はありませんでした。玩具メーカーは基本的に作りたいものを自由に作ることができ、安全性への懸念は、通常、複数の事故が報告された後にようやく指摘されるという状況でした。1969年にリチャード・ニクソン大統領による玩具安全法のような法案が成立して初めて、危険な玩具の試験やその後の販売禁止が、米国および世界中で標準となりました。事故がゼロになることはありませんが、今日では玩具製造の一般的なプロセスにおいて「安全第一」のポリシーが採用されており、子供たちがさらされる潜在的な危険は大幅に減少しています。

現在のソフトウェアセキュリティは、まさに西部開拓時代です。プライバシー（特に最近のGDPR）や顧客データの保護に関する明白な法律や規制、一部の国での義務的な侵害報告法を除けば、ソフトウェアに組み込まれるセキュリティレベルについて、ビジネスやコミュニティの主流で語られることはほとんどありません。それらの法律でさえ、実際に規制されるソフトウェアそのものや、満たすべき強制的なセキュリティ基準というよりも、企業の責任に関連するものです。

私たちはその段階に到達するでしょうが、それにはまず破壊の道を歩む必要があるかもしれません。

ガートナーの予測によると、2020年までに84億台のインターネット接続デバイスが使用されることになります。これは2016年から31パーセントの増加です。これには家電製品だけでなく、医療機器や産業用機器なども含まれます。ハッカーにとっては、とてつもなく多くのチャンスがあるということです。

誰かのペースメーカーを動かしているソフトウェアが安全でないと想像してみてください。ハッカーが侵入し、被害者の心臓を停止させる可能性があります（そんな馬鹿なと思うでしょうか？医師たちはWiFiを無効化しました。ディック・チェイニー氏のペースメーカーのWiFiを無効化し、ハッキングによる暗殺の可能性を阻止したのです）。接続された電子レンジやケトルが遠隔操作で爆発させられたり（私たちが家庭で楽しんでいるあらゆるモノのインターネット（IoT）デバイスと同様に）、接続された電気自動車のブレーキが無効化されたりするかもしれません。これはハリウッドのアクション映画のような荒唐無稽な話に聞こえるかもしれませんが、これらの高度なコネクテッドテクノロジーのソフトウェアが侵害されれば、私たちは本当に潜在的な大惨事に直面することになります。すでに見てきた石油・ガス業界におけるサイバー攻撃の爆発的な影響と同じように。

私たちの生活がデジタルへの依存度を高める中、悪意あるハッキングによる悲惨な結果を未然に防ぐことは可能です。それはすべて、開発者がセキュアコーディングに熱意を持ち、開発チーム内に強力なセキュリティマインドセットと文化を育てることに真剣に取り組むことから始まります。

ソフトウェア革命はここから始まります。銀行業界は、従来の（退屈な）トレーニングを根本から覆す真に革新的なアプローチとして、ゲーミフィケーションを取り入れたトレーニングを積極的に導入しています。実際、オーストラリアのトップ6銀行はすべて、現在この方法で開発者のセキュリティ意識を高めています。当社のクライアントであるIAGグループが実施した次世代型トーナメントをご覧ください。