静的対動的サイバーセキュリティトレーニング：衝動的なコンプライアンスが招く将来の課題

「サイバーセキュリティ・コンプライアンス」という言葉がトレンドになって久しいですが、サイバー犯罪という巨大で多面的な脅威に世界がどう立ち向かうべきかについて、数え切れないほどの記事や取り組み、委員会が議論を重ねてきました。

問題は、私たちがそれほど進歩していないように見えることです。世界的にデータ侵害のコストは着実に上昇しており、5年間で12%増加し、2019年には侵害1件あたり約392万米ドル に達しました。インターネットの利用がわずか20年ほどで爆発的に普及する中、多くの企業は、オンライン化を急ぎ、事業を立ち上げ、安全性の低いソフトウェアや限られたAppSecリソース、そして場合によっては顧客の信頼を損なうといった事態の収拾に追われ、無防備なまま戦うことを余儀なくされました。

今日、私たちは間違いなく成熟しました。脅威の範囲を理解し、詳細に議論できるようになり、企業はサイバー攻撃が顧客の感情、評判、そして収益に与える影響を十分に認識しています。多くの組織が、コンプライアンス研修や熟練した人材の採用、そしてDevSecOpsの取り組みを通じて、ソフトウェアセキュリティの向上を積極的に図っています。しかし、これほど大きな飛躍を遂げたにもかかわらず、私たちは戦いに勝てていません。それどころか、2019年だけでも少なくとも40億件の記録が盗まれています。

欠けていた要素の一つは、サイバーセキュリティの基準、期待値、そして侵害時の結果に関する（政府レベルでの）浸透の遅さです。GDPRの導入により、少なくともヨーロッパでは責任を問われるケースが出始めていますが、多くの政府機関は今ようやく追いつこうとしている段階です。新たに策定されたコンプライアンス基準に急いで対応しなければならないという状況は、将来的に予期せぬ副作用をもたらす可能性があります。

急いては事を仕損じる（不適切な研修への飛びつき）

Robust guidelines in the form of NIST, new regulations for New York State and the formation of the UK Cyber Security Council have all been monumental wins for those fighting the good fight in keeping our data safe. They acknowledge the issues in current software development, and take steps to guide organizations on the standards they must now meet to be considered ethical and compliant, in terms of security best practice.

残念ながら現段階では、最も重要な要素のいくつかが解釈の余地を残しすぎています。例えば、英国サイバーセキュリティ評議会の法案には次のような義務が盛り込まれています。

「定義された認定資格リストを作成し、それらがどのように関連し、どのような能力を証明するのかを分かりやすいフレームワークとして提示すること。これは、すでに実施されているキャリアパスの取り組みを基盤とするものとする」。

彼らの取り組みは今後間違いなく改善・拡大していくでしょうが、組織が今すぐパニックに陥って研修に飛びついたとしても、将来に向けて十分な備えができているとは言えないかもしれません。

組織のサイバーセキュリティに対する要求は急速に変化しており、静的な研修ソリューションだけで、安全性の低いソフトウェアの流入を食い止めることは困難です。状況は従来のコースの更新スピードよりも速く変化するため、多くの組織が「形式的なコンプライアンス」の罠に陥っています。開発者、請負業者、その他のセキュリティ専門家が適切な研修を受けられず、結局は無防備な状態に戻ってしまうのです。

静的な研修と静的なツールは同じ問題を抱えている

静的解析ツールはSDLCに不可欠な要素であり、多くの大企業で不足し、過重労働に悩むAppSec専門家に代わってスキャンを行う「働き手」として機能しています。優れたツールではありますが、欠点もあります。あらゆる脆弱性をスキャンし、世の中に存在する膨大なプログラミングフレームワークをすべてサポートできる「万能な」ツールは存在しないのです。また、プロセスが遅く、たった一つのセキュリティバグが見逃されるだけで、攻撃者に侵入の隙を与えてしまいます。

静的な研修にも同様の問題があります。開発者がセキュリティ研修を「一度きり」の硬直的なコースとして受講しても、その時点での最新のセキュリティ課題に追いついている可能性は極めて低いです。それは作成された時点の「スナップショット」に過ぎず、見直されることはほとんどありません。また、受講者が普段使用している言語やフレームワークに対応しておらず、日常業務で直面する可能性のある脆弱性に即した内容でもありません。納期に追われ、コードのリリースに奔走している最中に、数ヶ月前に見た動画の内容を思い出そうとすることなど、現実的ではないのです。

多くの業界で従来の教育手法が見直されていますが、開発者向けのセキュリティ研修に関しては、私たちが依然として経験しているデータ侵害の多さ（特に、SQLインジェクションのように、何十年も前から回避策が知られている脆弱性に起因するもの）を見れば、別の方法を試さなければならないことは明らかです。

私たちは、単一の直線的なコースという枠を超え、サイバーセキュリティのベストプラクティスの絶え間ない変化に合わせて柔軟に適応できる研修を必要としています。

動的研修：ゴールドスタンダード

ビジネスのニーズ、個人のスキルレベル、業界全体の動向に合わせて迅速に調整できる動的な研修ソリューションを提供することで、開発者はセキュアなコーディングのための最良の基盤を得ることができ、常にセキュリティを意識したマインドセットで行動できるようになります。

画一的で、一度きりで、そもそも興味を引かないトレーニングは、時間の無駄に終わるだけです。残念なことに、コンプライアンスのためだけに効果のないプログラムを衝動買いしてしまうことになりかねません。導入した時点で既に時代遅れになっていたり、現場の業務ニーズとほとんど関連性がなかったりする可能性もあります。

ダイナミックなトレーニングとは、常に更新され、日々のニーズに即し、ユーザーの批判的思考を促す生きたツールであり、実際にスキルを習得し、問題を解決する力を養うものです。

では、セキュリティの文脈におけるダイナミックなトレーニングプログラムとはどのようなものでしょうか？

それは次のような特徴を備えています。

• 短時間で習得可能：開発者は、長々とした資料や動画よりも記憶に残りやすく、かつ実践しやすい、扱いやすい単位でスキルを学べます。
• 関連性：Javaを主に使う開発者に対して、C#の例を用いた一般的なセキュリティ研修を行っても意味がありません。トレーニングは各自の役割に直結し、コーディング中に何を見つけ、どう修正し、理想的にはどう回避すべきかを学べるものであるべきです。
• 最新性：当たり前のことのようですが、実際にはそうでないことも多いのが現状です。サイバーセキュリティの状況は常に変化しており、コード量が増えるほど責任も増大します。開発者が防御の最前線となるためには、最新のセキュリティベストプラクティスを反映したトレーニングが不可欠です。
• 参加型：開発者がセキュリティを「面倒な作業」と感じがちなのは周知の事実であり、特にそれが創造的なフローを妨げる場合はなおさらです。適切なトレーニングは、日常的なセキュリティ課題が大きなリスクに発展するのを防ぐ力を開発者に与え、責任感とセキュリティ意識の文化を醸成します。
• 楽しさ：ダイナミックなトレーニングは退屈なものではなく、設計段階からワクワクするような工夫が凝らされています。開発者が好む「問題解決」「仲間との競争」「報酬や評価」といった要素を取り入れ、彼らの強みを活かして最良の結果を引き出しましょう。

ソフトウェアエンジニアにとって今はエキサイティングな時代です。彼らはデジタルイノベーションの不可欠な担い手であり、素晴らしい企業を支え、自らの創造物で世界を席巻することさえあります。しかし、政府機関や大企業がソフトウェアセキュリティの基準策定において果たすべき役割を認識しつつある今、単なる形式的な義務としてではなく、セキュアコーディングへの情熱を育むような、効果的でダイナミックなトレーニングで彼らを支援することが重要です。