GDPRへの準拠とオープンソース

データプライバシーと管理は、消費者と組織の双方にとって関心の高いテーマであり続けています。長年にわたる準備と議論を経て、EUはついに一般データ保護規則（GDPR）を承認しました。2018年5月にも適用が開始され、準拠していない組織には高額な罰金が科されます。GDPRの影響を受けるのは、EU域内で事業を展開する企業だけではありません。欧州の市民のデータを収集する場合、新しい規則が適用されます。予想されていたとおり、EUは準拠しない場合に厳しい罰金を科すことを決定しました。企業は全世界の売上高の4％または2,000万ユーロのいずれか高い方を支払う必要があります。この規模の罰金によって、事業継続が困難になる企業も少なくないでしょう。

GDPRの新しい規則のもとでは、最近のEquifaxの情報漏えいへの対応も大きく異なるものになっていたでしょう。情報漏えいから実際に40日後ではなく、最初の72時間以内に公表していれば、EquifaxのCEOであるRichard Smithは早期退任せずに済んだかもしれません。GDPRのもとでは、Equifaxは第32条に従って「リスクに応じた適切なレベルのセキュリティを確保するため、技術的および組織的な対策を講じている」ことを証明する必要があります。さらにGDPRは、事業分野における最新の技術水準に合わせて、組織がセキュリティを継続的に調整する責任を負うことを定めています。

Equifaxが痛感したように、組織内で急速に変化している領域の一つがオープンソースの利用です。俊敏性を高めるために、膨大な量のオープンソースが取り込まれています。しかし、開発者は一般に、オープンソースが組織にコンプライアンス上およびセキュリティ上のリスクをもたらすかどうかを判断するためのガイダンスや監督を十分に受けていません。脆弱性のない状態を保つために最新バージョンを追い続ける時間も、ほとんどありません。

Verizonの調査によると、「多くの攻撃は、パッチが数か月、あるいは数年前から提供されているにもかかわらず、一度も適用されていない既知の脆弱性［オープンソースコンポーネントの脆弱性］を悪用しています」。Googleの情報セキュリティマネージャーであるHeather Adkinsも、依存関係にパッチを適用し、最新の状態に保つことの重要性について、次のように述べています。「オープンソースソフトウェアを使ううえで、それは必要なコストだと思います。常に把握し続けなければなりません。たとえガレージで2人だけで開発しているとしても、そのうちの1人が、IT担当者としてでもリード開発者としてでも、パートタイムでセキュリティを担当する必要があります。」

そのため、この問題がOWASP 2017年版アプリケーションセキュリティリスクトップ10の「A9 – 既知の脆弱なコンポーネントの使用」で取り上げられているのも当然です。組織はもはや、これを最優先事項にしないわけにはいきません。

組織がリスクに応じた適切なレベルのセキュリティを確保するために導入できる技術的対策の一つは、自動化されたセキュリティツールと、次のようなより優れたプロセスを活用することです。

• さまざまな技術スタックにわたって既知の脆弱性を追跡する

• 開発者が既存の脆弱性を見つけて簡単に修正し、新たな脆弱性の混入を防げるようにする

• 開発者のワークフローやツールに統合する

• 開発者が一斉に導入できるよう、開発者のユーザー体験を重視する。セキュリティチームではなく開発チームの規模に合わせて、セキュリティを拡大できるようにする

• セキュリティの専門知識がなくても使えるよう、シンプルにする

まさにここでSnykが力を発揮します。私たちが開発者に焦点を当てたツールを提供することにしたのも、そのためです。Snykは脆弱性を報告して開発者任せにするのではなく、その修正を自動化します。コミットフックによる早期の予防から、CI/CDのコンプライアンスゲート、デプロイ済みのPaaSやサーバーレスアプリの脆弱性の監視まで、アプリケーションのライフサイクル全体を保護します。

Heather Adkinsの言うとおり、依存関係を常に把握し、最新かつ安全な状態に保つことは、事業を進めるうえで必要なコストです。それを怠るコストは、はるかに大きくなります。