一部のCISOは、セキュリティ人材の不足をチャンスに変えています。

今週、RSAカンファレンスに出席するためサンフランシスコに向かいますが、多くのCISOと議論を交わす準備をしています。驚かれるかもしれませんが、最近のCISOとの会話は、決して明るいものではありません。

彼らはセキュリティリスクが増大していることを認識していますが、多くのCISOは改善の機会を見出せず、むしろ自社がこれまで以上にデータ侵害やサイバー攻撃の被害に遭う可能性が高いと考えています。

私がCISOと定期的に行う対話の中で最も一般的なテーマの一つは、深刻なサイバーセキュリティ人材の不足に対する懸念です。

「エンジニアリングチームや会社の規模に対して、セキュリティチームの人数が足りていない」

「高額な給与パッケージや海外で働く機会を提示する海外企業に、セキュリティチームのメンバーを引き抜かれ続けている」

「セキュリティ専門家が火消しに追われ、スキルアップの時間を確保できない」

このテーマは、2017年のポネモン研究所の調査など、いくつかの調査報告書でも裏付けられています。同調査では、「社内の有能な人材の不足」が2018年のCISOのサイバーセキュリティに関する懸念事項のトップに挙げられました。

この深刻なセキュリティスキル不足は、すぐには解消されそうにありません。特にオーストラリアのような市場では、優秀な人材が海外に流出しやすく、移民法によって海外のセキュリティ専門家を国内に招き入れることもますます困難になっています。

オーストラリアのスキル不足に関して興味深いのは、熟練した専門家を採用できないという状況が、国家的なセキュリティスキル構築への前向きな取り組みにつながっている点です。ベンジャミン・フランクリンの言葉とされる「逆境はチャンスを生む」の通り、オーストラリアの政府、教育機関、企業、スタートアップは、地域で多様なセキュリティスキルを育成するプログラムに取り組んでいます。

セキュリティスキルの逆境が確実にチャンスへとつながった分野の一つに、社内および外部委託の開発チームにおけるセキュアコーディングスキルの育成があります。世界の主要なセキュリティ侵害のほとんどがコーディングエラーに起因し、平均的な侵害コストが360万米ドルに達することを考えると、ソフトウェアセキュリティはセキュリティ課題の重要な部分を占めています。アプリケーションセキュリティ予算の中で最大かつ増加傾向にある支出の一つが、事後対応型の脆弱性特定と修正であり、同じ古いバグが毎年繰り返されています。

開発者が最初からセキュアなコードを書けるように支援することは、CISOがセキュリティの窮状から主導権を取り戻す好機であり、セキュリティチームと開発チームの双方にとって、迅速かつ容易で測定可能な改善を実現するチャンスでもあります。  

これはセキュリティ専門家を開発者に置き換えるという意味ではなく、開発者をセキュリティ問題に関与させ、セキュリティを日々の意識の一部とし、楽しく効果的かつ効率的な方法でセキュアなコーディングを教えることを意味します。その結果、貴重なセキュリティ専門知識を、同じ古い脆弱性の対応ではなく、より困難で複雑なバグの発見と修正に充てることができるようになります。

一部のCISOには、話がうますぎる、あるいは導入が難しすぎると聞こえるかもしれませんが、実際はそのどちらでもありません。Secure Code Warriorでは、この機会を捉え、その過程でセキュリティチームと開発チーム双方の働き方を変革するCISOが増えているのを目の当たりにしています。

ソフトウェア開発者の間に強力なセキュリティ意識とスキルを育てるという取り組みを世界的にリードしてきたCISOのグループの一つが、オーストラリアの銀行です。オーストラリアの銀行は2016年から2017年にかけて、このアプローチを早期に採用しました。現在、国内トップ6の銀行は、当社のオンラインで自己学習型のゲーミフィケーション学習環境を通じて、開発チームがセキュアコーディングスキルを構築することを積極的に奨励し、関与させています。また、銀行はリアルタイムの指標とレポートを定期的に確認し、開発者やチームの強みと弱みを検証しています。

このアプローチからは、一般的な脆弱性の発生減少、開発者のセキュリティ意識の向上、セキュリティチームと開発チーム間の関係改善など、具体的かつ前向きな成果が生まれています。開発者にセキュアなコーディングを教えることに投資する企業は、既存のセキュリティ人材へのプレッシャーを軽減し、ソフトウェアの脆弱性によるリスクを低減できるでしょう。

もしあなたが組織内のセキュリティ状況に憂慮しているCISO（またはその知人）であれば、前向きで具体的なセキュリティ改善を実現する簡単な方法を検討することをお勧めします。開発者が関連性のある、前向きで楽しい方法でセキュアなコーディングを学べるよう支援してください。セキュリティチームと開発チームはあなたに感謝するでしょうし、製品の革新や開発におけるコストや遅延も削減できるはずです。これが、多くの前向きなセキュリティ対話への道を開くと私は確信しています。

開発者が最初からセキュアなコードを書けるように支援することは、CISOがセキュリティの窮状から主導権を取り戻す好機であり、セキュリティチームと開発チームの双方にとって、迅速かつ容易で測定可能な改善を実現するチャンスでもあります。