デジタルの未来を守る：デジタルバンキングにおけるAppSecのベストプラクティス

著者

2025年1月6日

0 分で読めます

2024年11月12日、クアラルンプールのパビリオン・ホテルで、SnykのフィールドCTOである Pas Apicellaが、マレーシアで開催されたDigital Banking Asia Summit 2024に登壇しました。「デジタルの未来を守る：デジタルバンキングにおけるアプリケーションセキュリティのベストプラクティス」と題した講演では、金融サービス業界が直面する喫緊の課題に対処するための、実践的な戦略が紹介されました。

講演では、Pas Apicellaが次の3つの重要な領域を取り上げました。

アプリケーションセキュリティにおける主な課題
開発者とセキュリティチームが直面する主な課題
リーダーが考慮すべきことと、アプリケーションセキュリティの成功の定義

マイクを手にプレゼンテーションを行う、SnykのフィールドCTO、Pas Apicella

講演の主なポイントを以下にまとめました。

アプリケーションセキュリティにおける主な課題

銀行や保険会社などの金融サービス機関（FSI）は、アプリケーションセキュリティの確保にあたり、特有の課題に直面しています。Pas Apicellaは、主な障壁として次の点を挙げました。

規制遵守：金融業界では、厳格な規制を遵守することが不可欠です。
サードパーティとの連携：FSIが外部システムと連携するほど、セキュリティの維持は複雑になります。
高度な攻撃者：金融業界は、機密データを狙う高度なスキルを持つ攻撃者の標的となることが頻繁にあります。
アプリケーションの複雑さ：大規模なFSIでは、複雑なアプリケーションアーキテクチャを抱えていることが多く、セキュリティリスクが高まります。
レガシーシステム：多くの金融機関で古いインフラが脆弱性を生み、モダナイゼーションの妨げとなっています。
リソースの制約：セキュリティチームの人員は大幅に不足していることが多く、開発者3,000人以上に対してセキュリティ担当者が1人というケースもあります。
内部脅威：内部関係者による悪意ある行為や不注意による行為のリスクも、依然として重大な懸念事項です。
リリース速度と安全な顧客体験：競争力を維持するには、迅速な開発サイクルと堅牢なセキュリティの両立が欠かせません。

開発者とセキュリティチームが直面する主な課題

開発者とセキュリティチームの連携は不可欠ですが、認識のずれや非効率を招く複数の課題によって、十分に機能していないことが少なくありません。大きな問題の一つが、共通認識の不足です。セキュリティチームは開発者が何を構築しているかを把握できないことが多く、その結果、足並みがそろわなくなります。

さらに、重要なビジネス面・技術面のコンテキストが欠けていると、脆弱性がビジネスに与える影響をチームが判断できず、リスクの優先順位付けが難しくなります。たとえば、一般公開アプリケーションのリスクと社内システムのリスクは異なります。

脆弱性が数十万件に及ぶことも珍しくない大手銀行では、この課題は一層深刻です。最も差し迫ったリスクを特定し、優先的に対処するための、的を絞ったアプローチが求められます。

リーダーが考慮すべき主なポイント

「金融サービス業界のリーダーが考慮すべき重要事項」を示したプレゼンテーションスライド

Pas Apicellaは、CTOとCISOの異なる優先事項を取り上げ、それぞれの補完的な役割を強調しました。CTOが重視するのは、自動化、開発者の生産性、使いやすさです。エンジニアリングチームがセキュリティツールをスムーズに導入できるようにするためです。一方、CISOはコンプライアンス、詳細なレポート、組織のリスク状況のリアルタイムな可視化を優先します。これらは、強固なガバナンスを維持するうえで不可欠です。