2021年におけるAppSecの進化：Redditの視点

企業が中核業務プロセスでソフトウェアに依存し続けるなか、アプリケーションセキュリティはこれまで以上に重要な検討事項となっています。Snykは先日、Redditと座談会を開催し、2021年のアプリケーションセキュリティについて話し合いました。

この記事では、Snykの社長兼共同創業者であるGuy Podjarnyと、RedditでSecurity Wizardを務めるSpencer Kochの議論を振り返ります。Redditには600人を超えるエンジニアが在籍し、セキュリティチームはSnyk Open Source security、Snyk Container vulnerability management、Snyk Infrastructure as Code security、およびSnyk APIを活用して、1,000を超えるリポジトリ全体でAppSecを拡大しています。

組織の規模がAppSecに与える影響

組織の規模にかかわらず、アプリケーションセキュリティの目標は変わりません。

• セキュリティ要件の推進

• 悪用される前に脆弱性を発見し、将来の発生を防ぐ

• セキュリティデータとテストを活用して開発者体験を向上させる

とはいえ、Kochは、AppSecの導入方法は組織やセキュリティチームの規模によって異なると考えています。

「大企業と小規模企業の違いは、仕事をどう進めるかという点で、どこに注力するかです」とKochは言います。「大企業でも小さなスタートアップでも、仕事そのものは変わりません。手元にあるリソースの投入方法について、考え方を変える必要があります。」

たとえば、小規模なチームには、個別のエンジニアリング作業を要するセキュリティツールを導入する時間やリソースがありません。小規模な組織は、オープンソースか商用かを問わず、限られたリソースで大半のユースケースに対応でき、迅速に展開して一元管理できるツールを選ぶことに注力する必要があります。

一方、大規模な組織は、初期および継続的な作業が増えるとしても、ビジネス要件や多様なユースケースにより適合するセキュリティツールを選ぶことがあります。大規模な組織は予算が大きいだけでなく、複数段階の承認や管理体制があるため、導入に数か月、あるいはそれ以上かかることもよくあります。多くの場合、時間がかかっても最初から正しく進めたいと考えます。それは当然のことです。しかし、すばやく反復し、新しい方法を試してうまくいくか確かめることの重要性も決して見過ごしてはいけません。組織ごとに状況は異なります。

分断されたテクノロジースタックへの対応

多くの組織が判断を迫られる重要な点の一つは、開発者が好きなテクノロジーを自由に採用できるようにするか、厳格なガバナンスモデルによって新しい言語やフレームワークなどに制限を設けるかです。開発者の自由度を高めるのは望ましいことに思えるかもしれませんが、テクノロジーを追加で採用するたびに、技術スタックが分断され、インフラコンポーネントや保守に必要なエンジニアリングの負担が増える可能性があります。

「今はAppSecは終わったと言う風潮がありますが、そうではありません」とKochは言います。「社内政治はなくならず、組織内にはそれぞれ独自のやり方を望む複数の事業部門が存在します。そのため、技術スタックの分断や競合製品の増加という問題は今後も続くでしょう。AppSecエンジニアは、導入された制御が意図どおりに機能し、組織全体のInfoSec目標を満たしていることを確認する役割を担います。」

技術スタックが分断されると、大企業であっても規模の経済を活かせなくなることがあります。開発者やセキュリティエンジニアに追加の負担が常に生じるためです。たとえば、異なるテクノロジー群との互換性を確保するには、静的解析やコードスキャンに複数のツールやプロセスを用いてセキュリティ制御を適用しなければならない場合があります。つまり企業は、標準化されていない技術スタックの維持にどれだけ費用をかけるかを判断する必要があります。特に、セキュリティのような開発関連業務がさらなる負担を生む場合はなおさらです。

企業は、プロセスに一貫性と共通性を持たせることで、開発者がテクノロジーを選ぶ自由と、アプリケーションセキュリティ、技術的負債、サポートインフラにかかる負担増加の可能性とのバランスを取る必要があります。組織ごとに優先事項は異なるため、長期的な視点でメリットとデメリットを比較することが大切です。

開発者に使いやすいアプリケーションセキュリティツールの重要性

ツールの導入にあたって重要なのは、開発者や、ビジネスの成功を担うほかのチームが、サードパーティ製セキュリティツールによって開発プロセスが円滑に進み、製品の品質が向上すると実感できることです。そうすれば、組織から義務付けられたからではなく、既存のワークフローに簡単に取り入れられ、使いやすく、役に立つからこそ、セキュリティツールを選んで導入するようになります。

「Snykの基本理念は、セキュリティに取り組む開発者向けツールの会社であることです」とPodjarnyは言います。「開発者にセキュリティを受け入れてもらうには、開発者を中心に据える必要があります。ただし、アプリケーションセキュリティチームの要件も満たせるよう、バランスを取らなければなりません。」

多くのセキュリティチームにとって、導入の鍵は、ツールが妨げではなく品質向上を後押しするものと認識されることです。組織が明確なセキュリティのベストプラクティスを定めておけば、開発者に使いやすいツールを選び、自動化を導入することで、組織全体で最も無理なく導入できる環境を整えられます。

2021年におけるAppSecの範囲

座談会に参加したセキュリティ専門家の間では、アプリケーションセキュリティには、インフラやクラウドセキュリティからコンテナやネットワークの設定まで、アプリケーションに関わるあらゆる脆弱性領域を含めるべきだという見解が広く共有されました。開発をより簡単かつ迅速にするために、ソフトウェアによって抽象化されるテクノロジーが増えるにつれ、AppSecチームの役割も広がり、進化しています。

「私がこれまで一貫してチームを編成してきた方法は、オフェンシブセキュリティを一つの能力として捉え、そこに注力することです」とKochは説明します。「アプリケーション、インフラ、クラウドといった個別のスキルセットに分けるより、経営の視点からはこれらをまとめて扱うのが理にかなっています。基盤となるテクノロジーも、組織内での使われ方も進化し続けるからです。」

ただし、膨大な数の資産や、保護すべきニッチなテクノロジーを抱える大企業では、カバレッジの深さを高めるため、こうした機能を小規模なチームに分けたほうがよい結果を得られる場合があります。一方で、それぞれの領域のデータには価値があり、相互に依存しています。そのため、チームが分かれていても、脆弱性には共通するパターンが見られることが少なくありません。さらに、各機能の目標は同じであり、一般的には組織構造や社内政治の問題です。

AppSecは毎年進化を続けているため、Snykは業界のセキュリティ専門家からさまざまな見解を得るために、定期的にウェビナーを開催しています。こうした座談会は、アプリケーションセキュリティチームと開発者双方のニーズを理解し、Redditをはじめとする組織のセキュリティニーズに製品を引き続き適合させていく機会となっています。