現代のセキュリティリーダーに注目：Auth0のMarcin Hoppe

Marcin Hoppeは、Auth0のプロダクトセキュリティ担当シニアマネージャーです。セキュリティチームがエンジニアリング部門と連携し、組織全体で安全なコードをデプロイできるように支援しています。Marcinによると、彼のミッションはAuth0のエンジニアがより安全なプロダクトを構築できるようにすることです。彼が直面する課題や取り組みについて、詳しくはこちらをご覧ください。

Marcinの取り組みは、現代のリーダーシップを体現しています。組織全体に深く関わり、エンジニアリングやマネジメントなどとの橋渡しを目指すセキュリティリーダーにとって、模範となる存在です。DevSecOpsやセキュリティの未来について、彼がどのように考えているのかを知るため、いくつか質問しました。回答をご紹介します。

Snyk：あなたやセキュリティ担当の同僚が、夜も眠れないほど気にかけていることは何ですか？

Marcin：未知の未知です。つまり、修正すべきだと気づいていないことです。そうしたことは常に存在します。存在すら知らない脅威から、お客様や会社を効果的に守ることはできません。まだ発見されていない脆弱性もその一つです。脆弱性が明らかになった際に適切に対応できるよう、Snykの広範な脆弱性データベースとアラートを活用しています。こうした脆弱性を追跡するのは、単一のセキュリティチームだけで担うには大きすぎる仕事です。

Snyk：Auth0のセキュリティへの取り組みは、他の組織とどう違いますか？

Marcin：多くの組織とは異なる取り組みの一つは、開発者がワークフローにセキュリティを直接組み込めるよう支援することです。可能な限り自動化し、セキュリティに関するプロセスを簡単に繰り返せる形で整えています。こうすることで、エンジニアがセキュリティの専門家になる必要はありません。基本を理解し、手順に従い、仕事をしやすくするために提供するツールを活用すればよいのです。

Snyk：セキュリティプロセスをどのように拡大していますか？

Marcin：セキュリティを拡大するうえで、測定は重要な要素です。私のチームの役割の一つは、Auth0の各チームにおけるセキュリティの進捗を測定することです。個々のチームだけでなく、組織全体のセキュリティ態勢を継続的に改善しています。現在は、毎月解決した脆弱性の数、解決までにかかった時間、対応と修正に関するSLAを超過した脆弱性の数を追跡しています。継続的改善の原則を守るため、セキュリティ指標も随時追加しています。私たちにとって、セキュリティを拡大するとはそういうことです。

Snyk：DevSecOpsをどのように定義しますか？

Marcin：DevSecOpsは、DevOps革命のごく自然な発展だと思います。特にDevSecOpsとは、開発、運用、QAの間にある壁を取り払うことです。それだけでなく、情報セキュリティ部門と企業の他部門との壁も取り払います。これはAuth0で私が取り組むことの大きな部分を占めています。

Snyk：多くの組織にとって、真のDevSecOpsを実現するのが難しいのはなぜだと思いますか？

Marcin：そもそもDevOpsの基盤がしっかりしていないことが、難しさの一つかもしれません。何もない状態からDevSecOpsに取り組むのは大変ですが、すでに機能しているDevOpsにセキュリティを組み込んで「拡張」することは十分可能です。まずDevOpsを始め、そこから取り組みを進めるのがよいでしょう。

もう一つ、説明は簡単でも解決が難しい課題は、人材の確保です。各社は情報セキュリティチームの人材確保に苦労しており、企業内のすべてのプロジェクトを支援できるだけの余力を持つのは簡単ではありません。だからこそ、自動化や、各チームが自らセキュリティに取り組めるよう支援することが重要なのです。

Snyk：現在、チームでDevSecOpsを実践している例を教えてください。

Marcin：私が率いるプロダクトセキュリティチームは、機能の発案から設計、開発、運用、そして廃止に至るまで、ソフトウェア開発のライフサイクル全体を通じてパートナーとなることを目指しています。DevSecOpsを正しく実践するうえで、これは非常に重要です。ソフトウェアライフサイクルの一時点だけにセキュリティを組み込むのではなく、最初から最後までプロセスに自然に取り入れるのです。

Snyk：開発チームとセキュリティチームの認識を合わせるために、どんなアドバイスがありますか？

Marcin：開発者とセキュリティエンジニアの双方に、共感を促すことが大切だと思います。セキュリティエンジニアは、ビジネスの現実とソフトウェア開発プロジェクトの現実を理解する必要があります。リリース前にすべての脆弱性を修正するのは、経済的に見合わないことも多く、お客様の不満や金銭的損失（期限に間に合わず収益を逃すなど）につながる可能性もあります。互いの優先事項を理解することで、複数のスケジュールを調整したり、難しい決断を下したり、異なるプロセスを構築したりしやすくなります。

また、開発チームと情報セキュリティチームの間でオープンにコミュニケーションできるほど、連携も円滑になります。情報セキュリティチームは、正当な理由から中央集約型であることがよくあります。そのため、双方が密度の高いコミュニケーションを取れるようにすることが、迅速に認識を合わせるうえで欠かせません。

Snyk：セキュリティ業界で働く人に、アドバイスを一つするとしたら何ですか？開発のセキュリティ確保に向けた協力体制を促進する鍵は何でしょうか？

Marcin：早く始めることです。すでに確立されたプロセスにセキュリティを組み込むのは非常に困難です。セキュリティを開発と運用のライフサイクルに完全に統合するには、文化を変える必要があり、規模が大きく変化の遅い組織では難しい場合があります。

Snyk：今後5年から10年の間、組織はさらに多くのセキュリティ課題に直面し続けるでしょう。最も大きな課題は何だと思いますか？

Marcin：セキュリティとソフトウェア開発の両方で、変化のスピードは非常に速いです。開発チームにとって良きパートナーとなるには、セキュリティエンジニアもソフトウェア開発の新たなトレンドに追いつくことが不可欠です。それに加えて、脅威の状況も進化し続けています。この分野の変化にも追いつく必要があります。

もう一つのトレンドは、サプライチェーンリスクの高まりです。従来、ソフトウェア開発チームは商用ベンダーが提供するツールやプラットフォームに依存していましたが、オープンソースの普及によって状況は変化しました。近年、オープンソースのサプライチェーンにおける管理の不備を悪用しようとする事例が数多く見られますが、現時点で万能な対策はありません。Auth0では、オープンソースセキュリティの課題に対応するため、Snykを活用しています。

Snyk：現在のセキュリティのあり方を何か一つ変えられるとしたら、何を変えますか？

Marcin：最初から、プロダクトを評価する品質特性の一つとしてセキュリティを扱うことです。信頼性、パフォーマンス、ユーザー体験と大きく変わりません。そして、決してそれらより重要度が低いわけではありません。