AIの導入スピードに準備が追いついていません。そのギャップを埋めましょう。

先日、NGINXのゼロデイ脆弱性が公開されました。また同時期に、MicrosoftからもWindows RPCのRCE（リモートコード実行）脆弱性という重大な脆弱性が公表されています。本記事では、これら2つの問題によるリスクの対象範囲と、その軽減策について解説します。

ゼロデイ攻撃は、その名の通り、開発者が脆弱性を発見して修正する時間的猶予を一切与えません。攻撃者が先手を打つためです。被害が発生した後に、ソフトウェアの修正とビジネス上の評判の回復という二重の苦難に追われることになります。攻撃者は常に優位な立場にあり、その差を可能な限り縮めることが極めて重要です。

2年目となる今年も、私たちはEvans Data Corp.と共同で、世界の開発者コミュニティを対象とした包括的な調査を実施しました。セキュアコーディングの実践に関するスキル、認識、行動、そしてソフトウェア開発ライフサイクル（SDLC）におけるそれらの影響と重要性について調査した結果、多くの点で非常に驚くべき事実が明らかになりました。

Javaコミュニティで最も人気のあるライブラリの一つであるSpringにおいて、リモートコード実行（RCE）に関連する2つの脆弱性が公開されました。「Spring4Shell」および「Spring Cloud Function」に関する既知の詳細をまとめましたので、リスクの有無や、該当する場合の対処法をご確認ください。

サイバー犯罪者との戦いにおいて、私たちは彼らと可能な限り歩調を合わせ、先回りした予防的な考え方で彼らの活動領域を封じ込める必要があります。来年、彼らがどのような動きを見せるのか、私の予測をまとめました。

サイバーセキュリティアプローチで目標を掲げている企業の多くは、公式のセキュリティチャンピオンプログラムを実施し、そのような役割に適性と情熱を示す個人に、チーム間の連絡や一般的なチアリーディングからベストプラクティスの監督まで、主要なセキュリティ責任を課しています。

誕生日の節目は、これまでの努力の成果を振り返り、チームを称え、自信を持って翌年に挑むための素晴らしい機会です。創業から7年が経った今、ふと考えます。「私たちはやり遂げたのだろうか？」「もう一人前の企業と言えるのだろうか？」もちろん、組織として成熟はしましたが、創業当時から持ち続けている好奇心、情熱、そしてオタク気質をこれからも決して失いたくはありません。

開発者にセキュリティの専門家になることを期待すべきではありませんが、組織が開発者支援の新しい基準を採用することで、より高品質なソフトウェアを生み出せるようになります。