CISOのある1日：AquiaのChris Hughes

組織の中でも特に大きな責任を担う役職の一つが、最高情報セキュリティ責任者（CISO）です。少し前に、AquiaのCISO兼共同創業者であるChris Hughesと、CISOとしての経験について話す機会がありました。Acquiaは、世界有数の意欲的なブランドがイノベーションを実現できるよう支援する、オープンソースのデジタルエクスペリエンス企業です。

Hughesはこれまでのキャリアで、DevSecOps、Kubernetes、コンテナ（セキュリティ強化済みコンテナを含む）、デプロイパイプライン、セキュアソフトウェアファクトリーのリファレンスアーキテクチャ、セキュリティツール、ソフトウェア部品表（SBOM）など、幅広い分野を経験してきました。セッションでは、こうしたテーマに加え、CISO兼共同創業者としての1日がどのようなものかについても語りました。

CISOになるまでの道のり

Chrisがサイバーセキュリティ分野のCISOになるまでの道のりは、興味深いものでした。キャリアの出発点は米国空軍での勤務で、そこでテクノロジーとサイバーセキュリティへの関心が本格的に芽生えました。当初はソフトウェア開発の経験がなかったものの、コンピューターに携わり、活気ある業界の一員となることにやりがいを感じていました。年月を重ねるうちに、テクノロジーやソフトウェアは形を変えながら身の回りのあらゆるものに関わっており、そのすべてを安全に守る必要があると気づきました。米国空軍での任期を終えた後、さまざまな業界の職務を経験し、最終的にサイバーセキュリティに注力する道を選びました。

2人の共同創業者との出会いを経て、Aquia Incが誕生しました。創業間もない会社を導く一方で、HughesはCloud Security Alliance（CSA）やCloud Native Computing Foundation（CNCF）をはじめとする多くのコミュニティでも積極的に活動するようになりました。軍人から共同創業者兼CISOへと歩んだ彼の道のりは、実に目覚ましいものです。

現在の課題

幅広いテーマについて話し合いましたが、特にソフトウェアサプライチェーンセキュリティとSBOMをめぐる動向に焦点を当てました。また、米国政府がサイバーセキュリティへの関心を高め、サプライチェーンセキュリティに沿ってプロセスを効率化しようとしていることを示す、最近の大統領令についても話しました。

続いてHughesは、出版社Wileyと協力し、ソフトウェアサプライチェーンの透明性とセキュリティに関する書籍を共著したことについて話しました。そこから、Log4Shellのように、悪意ある攻撃者がソフトウェアサプライチェーンの一部を侵害すると、下流にある組織に甚大な影響を及ぼす可能性があるという話題になりました。これが連邦政府の注目を集めている理由です。ソフトウェアサプライチェーンセキュリティに関する連邦政府の勧告に加えて、米国国立標準技術研究所（NIST）は、連邦政府にソフトウェアを販売する米国のベンダーに義務付けられる、セキュアソフトウェア開発フレームワークのガイドラインを発表しています。

SBOM、DevSecOps、サプライチェーンセキュリティがニュースの見出しを占める一方で、Hughesは業界が直面するもう一つの深刻な課題、すなわち人材についても触れました。

誰もがツール、ライセンス、ベンダーに取り組んでいて、人材には目を向けていません。そのため、多くの組織がサイバーセキュリティに苦慮しています。

この話から、人材にセキュリティを根付かせるにはどうすればよいか、またセキュリティチャンピオンプログラムについてどう伝えるべきかという問いが生まれました。Hughesは、適切な行動を取れるよう人々を後押しし、ゲートではなくガードレールを設ける必要があると述べました。誰もが常にあらゆる場所にいられるわけではなく、組織内では開発者の数がセキュリティ担当者を大幅に上回ることもよくあります。だからこそ、サイバーセキュリティのトレーニングが不可欠なのです。

開発チームと連携し、セキュリティ要件を理解してデータを適切に判断できるよう支援することは、あらゆる組織のセキュリティ態勢にとって重要です。幸い、Linux FoundationやOWASPなどがセキュア開発トレーニングの提供を始めており、ほかにも多くの組織がその後に続いています。

リスクの管理と軽減

コンプライアンスフレームワーク、リスク管理、アプリケーションのリスクプロファイリングについても話し合いました。国防総省やその他の連邦政府機関と仕事をしてきたHughesは、優れたリスク管理フレームワークの重要性を誰よりもよく理解しています。NISTは、NIST 853、NIST 800、NIST 171など、広く利用されているリスク管理フレームワークを数多く提供しており、Hughesも実務で活用してきました。これらのコンプライアンスフレームワークは、政府機関と取引する企業に向けて、連邦政府の防衛産業基盤の指針となるものです。HughesはFedRAMPへの準拠やアプリケーションのリスクプロファイリングにも携わっており、特に興味を引かれました。私たちも現在、アプリケーションセキュリティの成熟度評価に取り組んでおり、SAMM（ソフトウェア保証成熟度モデル）やBSAMM（セキュリティ構築・成熟度モデル）などのモデルを活用しているからです。

さらに詳しく

対談の締めくくりには、学びを深めるための素晴らしいおすすめや参考情報が紹介されました。Hughesは、クラウドネイティブセキュリティ、DevSecOps、Kubernetesに関するお気に入りの本を6冊挙げてくれました。その多くはWileyから出版されており、Liz Riceをはじめとする優れた著者によるものです。互いに知識や課題を共有し、コミュニケーションを大切にすることはとても重要です。それが私たちを鼓舞し、前進する力になります。

SnykのYouTubeチャンネルで、ChrisとのSnyk Live対談の全編と、Security Leadership Seriesのその他のエピソードをご覧ください。