荒野と化したAppSec業界に必要な変革：2019年の予測

2018年は、サイバーセキュリティの専門家にとって非常に大きな1年となりました。セキュリティをより真剣に考えるべきだという警告や、セキュリティ業界の人材育成、そして組織のサイバー意識を高めようとする一般的な試みに関する絶え間ない報道にもかかわらず、私たちは何百ものサイバー攻撃が残した爪痕を目の当たりにしています。これらは大規模なデータ侵害を招き、誰もが知る有名企業に対する消費者の不信感につながりました。2018年上半期だけでも、45億件のデータ記録が流出し、945件の個別のインシデントが発生しました。

これまで何度も言ってきましたが、私たちはもっと改善できるはずです。しかし、私たちが直面している真の戦いは、スクリプトキディや危険な組織的サイバー犯罪集団、あるいはノートパソコンに向かってタイピングする謎のフード姿の人物との戦いではありません。真の戦いは、こうした侵害が実際に起きているという事実に対し、より多くの人々の関心を向けることにあるのです。

GDPRへの準拠は良い第一歩ですが、短期的には大きな効果は期待できません。

欧州連合の一般データ保護規則（GDPR）が本格的に施行され、データ保護を軽視する組織にとって大きな脅威となっています。非準拠とみなされた場合には巨額の制裁金が科されるため、これは企業がセキュリティ対策を強化し、顧客データをより尊重し、サイバー攻撃を緩和するための戦略を策定するきっかけとなるはずでした。

一部の組織には巨額の制裁金が警告されていますが、GDPRへの不適合による真の影響はまだ見えていません。破産に追い込まれるような罰則はなく、私たちウェブユーザーにとっては、クリックすべきポップアップが増えただけです。これは、法的手続きには時間がかかり、不服申し立ての機会も多いためです。見せしめとなるような企業は、おそらく数ヶ月から数年にわたる法廷闘争の渦中にいるのでしょう。Facebookにとって悪夢のような1年の締めくくりとして、最近またデータ侵害が報告されました。APIのバグにより、680万人のユーザーのプライベート写真が1500の不正なアプリケーションにさらされたのです。このバグは2週間以内に発見され修正されましたが、データ保護機関や一般の人々がこの違反を知らされたのは数ヶ月後のことでした。GDPRでは72時間以内の侵害通知が義務付けられているため、現時点でこれらの法律がどれほど影響力があり、効果的であるかについては多くの疑問が投げかけられています。

もちろん、他での侵害も止まっていません。11月のマリオットの侵害では、5億件ものデータ記録が流出したことが明らかになりました。さらに懸念すべきは、攻撃者が発見されるまでの4年間、システムにアクセスしていたという事実です。ただし、マリオットはある程度の損害管理を行っているようです。被害者に対し、クレジット監視ツールであるWebWatcherの12ヶ月無料サブスクリプションを提供しました。しかし、ハッカーが精査できる5億件もの記録がある中で、1年間で意味のある監視ができるかどうかは疑問です。結局のところ、データが悪用されるまでには数年かかる可能性があるのですから。

長期的には、GDPRのような規制は、適切に施行されれば前向きな変化をもたらすでしょう。企業が多額の制裁金（あるいはデータ侵害を受けた顧客による集団訴訟）や、長期的な利益の減少に直面すれば、ほとんどの企業がオンラインデータベースの強化に必死に取り組むようになると私は信じています。

金融機関は、今後も短期的な前向きな変化を牽引し続けるでしょう。

世界中の苦労して稼いだ現金の門番である金融機関が、最も厳格なサイバーセキュリティのベストプラクティス・ポリシーを持ち、リスクを低減するためのエンドツーエンドのプロセスを備えていることは、それほど驚くべきことではないかもしれません。

このコンプライアンスを推進する大きな要因は、PCIセキュリティ基準委員会の存在です。彼らは金融機関が実行可能なセキュリティポリシーを実装し、あらゆる分野でガイドラインを遵守できるよう支援することに尽力しています。彼らは、この業界が決済ソフトウェアにおいて最高水準のセキュリティを達成する上で、強力な推進力となってきました。

では、金融機関は他と何が違うのでしょうか？私の経験上、彼らは一般的にセキュリティ意識が高く、AppSecの専門家やペネトレーションテスターだけでなく、（通常は非常に大規模で世界中に分散している）開発チーム全体に向けた包括的なトレーニングプログラムにリソースを割いています。彼らは、トップレベルの意思決定者に対し、セキュリティプロセスは「一度設定すれば終わり」というものではなく、使用される技術と同じくらい急速に進化し、変化するリスクに適応しなければならないことを理解させています。

より多くの組織が、セキュリティパイプラインを変革していくでしょう。

ITの他の分野と比較して、AppSecは比較的新しい分野です。新参者であることは大変です。誤解されやすく、必要な重要な関係をまだ築けていないかもしれません。しかし、年を追うごとに、変化を拒むような古い体質の組織であっても、AppSecがその居場所を見つけることは容易になっていると私は信じています。

企業がセキュリティコンプライアンスをソフトウェアプロセスの最後の最後に行うステップにしてはならないことは、ますます明らかになっています。ポイント・ツー・ポイントでチェックと対策を行い、データの集約とビジネスの経営層への可視化に注力する必要があります。そうでなければ、セキュリティは多くの人にとって「見えない、気にしない」存在であり続けるでしょう。そうなれば、リスク計画に必要なリソースを集めることは事実上不可能です。

良いニュースは、これまで以上に多くの組織が自らのサイバー攻撃を発見し、修正に取り組んでいることです。悪いニュースは？そのプロセスに平均で85日かかっているということです。

ペネトレーションテストツールや手動のコードレビューは、技術分野において迅速なイノベーションと機能開発が不可欠な時代にあっては、困難でコストがかかり、時間がかかりすぎます。セキュリティ意識は、最初から、つまり開発者がコードを書き始めるその瞬間から浸透していなければなりません。

私たちの業界は、最大の問題を認識するでしょう。それは、人々にもっと関心を持ってもらう必要があるということです。

私のネットワーク内だけでも、過去4年間にマリオットホテルを利用した人が20人は確実にいます。この期間に5億件もの記録が流出したことを考えれば、彼らのデータがその被害に含まれている可能性は十分にあります。最新の連絡先情報から、現在も有効なクレジットカード番号、パスポート情報に至るまで、すべてが今この瞬間もダークウェブで売買されているかもしれません。しかし、彼らの関心はほとんどゼロに等しいのが現状です。

大規模なデータ窃盗事件において、自分は「干し草の中の針」のような存在に過ぎないと思えば、危機感が薄れるのも無理はありません。

しかし、真の問題はどこにあるのでしょうか。それは、顧客データの保護に失敗した企業が、ほとんど何の報いも受けていないという点です。事件直後に株価が下落することは間違いありません。ターゲット、エクイファックス、そして今回のマリオットもそれを証明しています。しかし、1年単位で見れば、株価は驚くほど速やかに回復しています。数年も経てば、経済的な面ではすべてが許されてしまうのです。

巨額の罰金や厳しい規制、そしてビジネス上の重大な損失といった深刻な報いがない限り、アプリケーションセキュリティ（AppSec）業界は、企業がさらされている増大するサイバーリスクの深刻さを訴え続けるという終わりのない戦いを強いられるでしょう。

事態は好転する前にさらに悪化すると私は懸念しています。だからこそ、組織の技術チームの最前線で、セキュリティ意識の高い開発者を育成し、強固なセキュリティ文化を築くことが極めて重要です。常に意識を高く持ち、より高い水準のソフトウェアセキュリティを目指して努力を続けましょう。