AppSecで金メダルを目指す道のり：オリンピアンから学べること

2024年のオリンピックが開催され、Snykの社員も大会を楽しみにしながら、それぞれの国の選手たちに声援を送っています。オリンピックには、華やかな開会式、息をのむような演技、接戦の末の勝利など、魅力が尽きません。楽しく盛り上がるだけでなく、私たちに刺激を与えてくれるものでもあります。選手たちが何年も練習を重ね、浮き沈みがあっても集中力を保ち続ける姿は、普通の私たちにも、それぞれの仕事や趣味、情熱を持ち続ける力を与えてくれます。

オリンピック選手のトレーニングの道のりは、金メダルは大会当日に突然手に入るものではないと教えてくれます。毎日起きて、厳しい練習を続けることから始まるのです。この教訓は、アプリケーションセキュリティをはじめ、人生のさまざまな場面に活かせます。オリンピアンが何年にもわたって練習を積み重ねるように、AppSecで「勝つ」には、継続的な努力と集中、そして粘り強さが欠かせません。

では、チームはどこに意識を向け、取り組みを続ければよいのでしょうか。オリンピックにちなみ、AppSecで金メダルを目指すチームの前進を後押しする「トレーニング分野」をいくつかご紹介します。

開発者との協働で勝てるチームを築く

優れた選手が成功するにはコーチやチームメイトの支えが必要であるように、アプリケーションセキュリティにもチームワークが不可欠です。優れたAppSecプログラムは、セキュリティチームと開発チームが協力して築くパートナーシップです。

開発者とのより強い協働を促すには、セキュリティチームは既存のワークフローに対立するのではなく、それに沿って取り組むことから始められます。開発者が好む働き方にシームレスに溶け込む方法としては、インラインでのスキャンと修正、実用的な修復アドバイス、そしてAI生成コードのセキュリティなど、新しいテクノロジーへの対応が挙げられます。

オリンピックで最も大切なのは、勝つことではなく参加することだ。

– ピエール・ド・クーベルタン（近代オリンピックの創始者）

資産を第一に考え、「なぜ」を忘れない

オリンピアンは大会に向けて準備するなかで、過酷なトレーニングを続ける大きな理由、つまり継続的な改善を忘れてはなりません。同じように、アプリケーションセキュリティチームも成果を上げるには、適切な視点を持つ必要があります。オリンピックにもセキュリティにも完璧はありません。練習のたびに、そしてコードの一行ごとに、改善していくことが大切です。そのためには、スピードや敏捷性など、特定の重点領域に優先順位をつけることもあります。

今日のセキュリティチームがAppSecを最も前進させるには、脆弱性を影響を受ける資産と関連するリスクの大きさから捉えることが重要です。CVSSに基づく脆弱性の件数だけでは、脆弱性の所在や組織の収益に及ぼすリスクなど、全体像が見えないことも少なくありません。資産を第一に考えるリスク評価は、こうしたコンテキストの不足を補います。脆弱性の場所に基づいて発見・修正することで、チームは最も重要な修正に集中でき、修復時に誤ってアプリケーションの別の部分を壊すことも防げます。

何気ないトレーニングの日にも、私は特別な瞬間に備えているのだと自分に言い聞かせています。

- シャレーン・フラナガン（米国の長距離ランナー、オリンピックメダリスト）

適切な情報を活用してセキュリティのスキルと手法を磨く

オリンピックに向けたトレーニングでは、適切なスキルや手法を時間をかけて磨くことも必要です。選手は、自分では鏡を見ても気づけないことを知るために、コーチやメンターを頼ることがよくあります。同様に、セキュリティチームも、適切な情報源を見つけて、最新の脆弱性やリスクに関するデータを集める必要があります。

公開情報、開発者コミュニティ、専門家による調査など、さまざまな情報源から正確で最新の情報を活用することが欠かせません。また、人間が介在するAIのようなテクノロジーを使えば、最も緊急性の高い脆弱性をすばやく特定し、効果的な修正方法を見つけることができます。

技術やスキルを磨きなさい。どんな競技であれ、その戦略を学び続けること。

– ボブ・ボウマン（マイケル・フェルプスのコーチ）

Snykが目指す、アプリケーションセキュリティの金メダル

アプリケーションセキュリティで成果を上げるには、適切なプラクティスを導入し、繰り返し確実に実践することが必要です。Snykは、現代の開発ワークフローにシームレスに組み込める、リスクベースのアプリケーションセキュリティソリューションを提供し、組織の取り組みを支援します。

アプリケーションセキュリティポスチャ管理（ASPM）ソリューションが、チームの期待を超える成果と、金メダルにふさわしいAppSecの実現をどのように支援するか、ぜひご覧ください。