オーストラリアの銀行が先導する「開発者を第一防衛線とする」アプリケーションセキュリティへのアプローチ

オーストラリアの銀行業界は、ソフトウェア開発者の強固なセキュリティ意識の醸成において世界をリードしています。これは、セキュアソフトウェアの第一人者であり、オーストラリアのスタートアップ企業Secure Code Warriorの共同創業者であるPieter Danhieux氏の見解です。

Danhieux氏によると、オーストラリアの主要銀行6行のうち5行が、Secure Code Warriorのオンライン型ゲーミフィケーション学習環境を通じて開発者のセキュアコーディングスキル向上に積極的に取り組んでおり、リアルタイムの指標やレポートを活用して開発者やチームの強みと弱みを検証しています。2016年8月に大手銀行1行と最初の契約を締結して以来、これまでにさらに4行と契約を結んでいます。

「従来の銀行は、異業種からの参入企業による強い圧力にさらされており、市場投入までの期間短縮、品質向上、柔軟性の強化を迫られています。その結果、機能や特徴の迅速な開発を優先するアジャイル開発フレームワークを採用するようになりましたが、それがセキュリティを犠牲にする結果を招いています」とDanhieux氏は指摘します。

「データ侵害による平均被害額は現在360万米ドルに達しており、企業が被害に遭う確率は4社に1社という高さです。世界で発生している主要なセキュリティ侵害のほとんどは、コーディングの誤りに起因しています。ハッカーはこれを利用してコンピュータネットワーク上の権限を奪取し、重要なデータにアクセスして盗み出しているのです」と同氏は付け加えました。

Danhieux氏は、近年の事例としてカタール国立銀行、VTech、モサック・フォンセカ（パナマ文書）、TalkTalkでの侵害を挙げ、これらはすべてハッカーがソフトウェアのセキュリティ対策の不備を突いたものだと説明しました。

長年エシカルハッカーとして活動し、SANS Instituteの主任インストラクターを務め、AISAの2016年サイバーセキュリティ・プロフェッショナル・オブ・ザ・イヤーにも選出されたDanhieux氏は、開発の初期段階からセキュリティを組み込むアジャイル開発手法を強く支持しています。この手法は、多くのテクノロジー企業や、金融サービス機関の間で採用が広がっています。

「アジャイル開発への移行は、企業や顧客にとってスピード面で大きなメリットをもたらしますが、セキュリティ脆弱性の防止という点では新たな課題を生んでいます。今や開発者一人ひとりがセキュリティをDNAに組み込む必要があります。スピードを維持しつつ、修正コストのかさむセキュリティバグを減らすためです。」

Secure Code Warriorは2015年にシドニーとロンドンで設立されました。Danhieux氏とビジネスパートナーのJohn Fitzgerald氏、そして他の3人のオーストラリアのサイバーセキュリティ専門家が、ソフトウェア開発者がセキュリティを自身の職務の核心として捉えられるよう支援したいと考えたのがきっかけでした。

「現在のアプリケーションセキュリティツールは、ソフトウェア開発ライフサイクル（SDLC）の右から左へ、つまり書かれたコードの脆弱性を検出し、事後対応で修正するというアプローチに偏っています。私たちはSDLCの極めて左側、つまり開発者を組織の第一防衛線と位置づけ、脆弱性が生まれること自体を未然に防ぐことに注力しています」とDanhieux氏は語ります。

急成長を遂げている同社は現在、シドニー、ロンドン、ベルギー、ボストンに拠点を構え、9カ国の主要な金融サービス、通信、テクノロジー企業を顧客に抱えています。現在1万人のアクティブユーザーを擁し、過去6カ月間で顧客数は倍増、収益は3倍に成長しました。

オーストラリア・サイバーセキュリティ・グロース・ネットワーク（AustCyber）のCEOであるCraig Davies氏は、このような実践的でエビデンスに基づいたトレーニングが、アプリケーションを開発する組織にとって不可欠な活動になると予測しています。

「開発の初期段階からセキュアなコーディングを行う企業は、リスクを大幅に軽減できるだけでなく、製品イノベーションに伴う多大なコストや遅延を削減できるでしょう」とDavies氏は述べています。

Danhieux氏は、リスクの現実を認識し、迅速にリスク低減に取り組んだオーストラリアの銀行の姿勢に感銘を受けています。「世界中でSecure Code Warriorを導入する新規顧客のペースを見れば、金融サービス機関がコードの一行一行にセキュリティの卓越性を組み込むことの重要性を認識していることは明らかです。Secure Code Warriorは、その課題を迅速かつ持続的に解決するための容易なソリューションなのです。」

‍