セキュリティ自動化の重要性

セキュリティは、どの組織にとっても不可欠である一方、負担の大きい課題でもあります。製品の成長やチームの拡大に伴い、大規模な環境でセキュリティ態勢を維持する難しさも増していきます。そこで役立つのが自動化です。セキュリティタスクを自動化すれば、スピードの向上といった明らかなメリットが得られるだけでなく、企業の文化やプロセスにも大きな変化をもたらします。

Snykの創業者兼CTOであるGuyPoは、業界をリードする複数の技術者とともに、The Secure Developerポッドキャストでセキュリティ自動化の重要性について語りました。DevOps、スケーリング、リスク管理において自動化が果たす重要な役割を掘り下げながら、ゲストの顔ぶれや洞察をご紹介します。

DevOpsの負担を軽減する

開発者の働き方に合わせてセキュリティプロセスを適応させることは、セキュリティ対策を成功させるうえで不可欠です。New Relicの最高セキュリティ責任者であるShaun Gordonは、業界とNew Relicにおけるセキュリティの役割の変化について語るため、ポッドキャストの第13回に出演しました。Gordonは、チームとともに「開発者の負担をできる限り軽くするよう努めている」と述べ、セキュリティが日々の業務に加える負担を最小限に抑えていると語りました。「つまり、私たちの仕事の多くをできる限り見えない形で進めるということです。バックグラウンドで実行しようとしています。」

Auth0のエンジニアリング担当副社長であるDuncan Godfreyも、第32回で同様のアプローチを紹介しました。SecOpsの考え方を先取りするため、「自動化できるものへの対応を自動化しています。そうすることで、チームは一段上の課題、つまり検知作業に集中できます」と述べています。

セキュリティタスクを自動化すれば、開発者、セキュリティの専門家、運用チームは、単調な作業の見落としを心配せずに、重要な課題に集中できます。これは、開発プロセスに合わせてセキュリティを適応させるうえで不可欠です。Gordonは第13回で、「非常に速い開発サイクルに対応し続けるには、これしかありません。開発者の数は増え続けており、手作業ではその規模に対応できません」と述べています。

持続可能なスケーリング

開発者向けのセキュリティプログラムが稼働し始めると、最初に直面する課題の一つがスケーリングです。アプリケーションは急速に成長することが多く、セキュリティと開発を同じペースで拡大するのは簡単ではありません。One MedicalのCISOであるZach Powersは、第23回で次のように説明しています。「スケーリングの一環として、セキュリティに関心があり、自動化に長けたエンジニアを採用しています。DevOps的な働き方や継続的デリバリーの環境に適応できる人材です。One Medicalでは、そうした人材とともに規模を拡大し、成果を上げています。」

現代のソフトウェア開発のスピードとプレッシャーを考えると、「セキュリティチームが今、自動化をエンジニアリングしていなければ、規模を拡大できず、今日直面している脅威にも対処できません。手作業では実現できないのです。」一部のセキュリティテストは今も手作業が必要ですが、その大部分は自動化できます。Powersはセキュリティリーダーにこう勧めています。「チームに自動化の能力があるなら、優先順位を付けていますか。自動化を設計する時間を確保していますか。答えが『いいえ』なら、一度立ち止まって考えてみてください。多くのセキュリティチームが今、向かっているのはその方向です。」

リスクとセキュリティ対応力

TSDのゲストが語った自動化の最後のメリットは、リスク管理です。NCC GroupのリサーチディレクターであるClint Giblerは、第48回で「セキュリティ自動化によって、さまざまなシステムの状態と相対的なリスクを継続的に把握できます」と説明しました。開発やリリースのサイクルを速めるCI/CDやDevOpsのツールは数多くあります。そのため、「既存のインフラ全体にセキュリティの可視化ポイントやフック、チェックを組み込めれば、大きな効果が期待できます。」

Shannon Lietz（IntuitのDevSecOpsリーダー兼ディレクター）は、第58回に出演し、リスクと複雑さの自動化を目指すことが重要だと語りました。「適切な意図を持ち、レジリエンスを測定できれば、いずれはほとんどの場合にリスクを自動化できるようになるかもしれません」。それによって、「自らレジリエンスを備えたシステム」の実現につながる可能性があります。

より安全な未来を自動化で実現する

時間の経過とともに、アプリケーション開発とセキュリティにおける自動化の重要性はますます高まっていきます。今から自動化の導入に取り組むことで、開発チームとセキュリティチームは、スピード、効率、安全性をさらに高められます。

自動化の役割や、上記のゲストが取り上げたその他の興味深いテーマについて詳しく知るには、The Secure Developer Podcastの全エピソードをお聴きください。開発者向けのセキュリティポッドキャストとして、ほぼあらゆるセキュリティのテーマを網羅したエピソードを公開しています。