サイバーセキュリティにおいて「人的要因」を決して軽視してはならない理由

当社会長兼CEOであるPieter DanhieuxによるForbes Technology Councilへの初投稿が公開されました。この投稿では、サイバー攻撃やデータ侵害を防ぐ鍵として、開発者のスキルアップを通じてより安全なコードを作成できるようにすることの重要性が詳しく解説されています。それだけでなく、セキュリティ意識の高い開発者が、多くのIT部門が想定するよりも迅速に、より優れた安全なコードを提供できることも明らかにしました。このアプローチの必要性は極めて明白です。最近の調査によると、サイバー攻撃は現在39秒に1回発生しており、私たちは皆、コロニアル・パイプラインに対する一度のランサムウェア攻撃が引き起こした混乱を目の当たりにしました。これは、全体から見ればSolarWindsハッキングほどの破壊力はありませんでした。

‍

多くの一般的な脆弱性が今も存在しているのは、不適切なコーディングパターンを、より安全で確実な方法に置き換える術を開発者に教える機会がなかったからです。開発の最終段階でソフトウェアを修正することは、時間とコストの面で非常に大きな損失となります。特に、未知の脆弱性が攻撃者に悪用された後にコードを修正する場合、数百万ドルのコストがかかることもあります。さらに、大規模な侵害による企業ブランドへのダメージは計り知れません。

セキュリティの訓練を受けた開発者は、必然的に優れたコーダーへと成長します。CISOがセキュリティツールを廃止すべきではありませんが、トップダウンで包括的かつ予防的なセキュリティアプローチを主導することで、企業は最大の資産である「人的要因」を最大限に活用できます。特に、ソフトウェア開発ライフサイクルの初期段階からセキュアコーディングを実践する上で、これは極めて重要です。

これを実現するために、心に留めておくべき3つの主要な戦略を紹介します。

1. 受動的ではなく、能動的（プロアクティブ）であること

企業はしばしば受動的な姿勢に陥りがちです。例えば、独自のビジョンを追求するのではなく、競合他社の動きに反応するだけといったケースです。セキュリティ脆弱性に関しても、侵害が発生して初めて真剣に取り組むという受動的な対応が一般的です。しかし、その時点ではすでに罰金、復旧費用、顧客離れ、ブランド毀損といった形で多大な損害が発生しています。また、コード作成の段階から安全性を確保するのではなく、自動または手動のコードスキャンに頼って既存の脆弱性を探すことも、能動的とは言えません。残念ながらコードスキャンは完璧ではなく、コード内の脆弱性が多ければ多いほど、見逃されるリスクも高まります。

能動的なアプローチを取り、開発者が最初から安全なコードを作成できるよう支援することで初めて、脆弱性のあるコードがユーザーにリリースされる可能性を大幅に低減するソフトウェア開発ライフサイクルを確立できます。

2. スキルアップを重視し、過剰な負担を避ける

開発者にセキュアコーディングの知識を提供すると決めたら、そのアプローチを慎重に選ぶ必要があります。開発を中断させる社内ワークショップは、開発者とマネージャー双方の不満を招きます。夜間や週末の社外研修も同様に人気がありません。最善の方法は、コーディングスキルを段階的に構築し、コーディングプロセスの中で関連情報をステップバイステップで提供することです。これにより、開発者の集中を妨げたり、開発スピードを落としたりすることなく、効果的にスキルアップを図ることができます。

3. 強制ではなく、動機付けを行う

開発者は、セキュリティのスキルアップを罰や退屈な作業と捉えるべきではありません。マネージャーは、セキュアなコードが企業の成功に果たす重要な役割を伝え、開発者の意欲を高める必要があります。また、セキュアなコーディングスキルを持つ開発者は企業にとってより価値が高く、将来的にキャリアの機会が広がることを伝えることも重要です。

バイデン政権による歓迎すべき大統領令は、サイバーセキュリティへの注力を強め、「開発者やサプライヤー自身のセキュリティ慣行を評価する基準を含め、安全な慣行への準拠を証明するための革新的なツールや手法を特定する」必要性を強調しています。しかし、ツールは不可欠であっても、それだけでは不十分です。システムやツールを導入しても、人間がそれを無視、誤解、悪用、あるいは回避する可能性を完全に排除することはできません。企業のセキュリティを最大化するために、CISOは人的要因を重視し、開発者が自発的にセキュリティを推進・実践できるよう促す必要があります。