デジタルの未来を守る：デジタルバンキングにおけるAppSecのベストプラクティス

2024年11月12日、クアラルンプールのパビリオン・ホテルで、SnykのフィールドCTOである Pas Apicellaが、マレーシアで開催されたDigital Banking Asia Summit 2024に登壇しました。「デジタルの未来を守る：デジタルバンキングにおけるアプリケーションセキュリティのベストプラクティス」と題した講演では、金融サービス業界が直面する喫緊の課題に対処するための、実践的な戦略が紹介されました。

講演では、Pas Apicellaが次の3つの重要な領域を取り上げました。

1. アプリケーションセキュリティにおける主な課題

2. 開発者とセキュリティチームが直面する主な課題

3. リーダーが考慮すべきことと、アプリケーションセキュリティの成功の定義

講演の主なポイントを以下にまとめました。

アプリケーションセキュリティにおける主な課題

銀行や保険会社などの金融サービス機関（FSI）は、アプリケーションセキュリティの確保にあたり、特有の課題に直面しています。Pas Apicellaは、主な障壁として次の点を挙げました。

• 規制遵守：金融業界では、厳格な規制を遵守することが不可欠です。

• サードパーティとの連携：FSIが外部システムと連携するほど、セキュリティの維持は複雑になります。

• 高度な攻撃者：金融業界は、機密データを狙う高度なスキルを持つ攻撃者の標的となることが頻繁にあります。

• アプリケーションの複雑さ：大規模なFSIでは、複雑なアプリケーションアーキテクチャを抱えていることが多く、セキュリティリスクが高まります。

• レガシーシステム：多くの金融機関で古いインフラが脆弱性を生み、モダナイゼーションの妨げとなっています。

• リソースの制約：セキュリティチームの人員は大幅に不足していることが多く、開発者3,000人以上に対してセキュリティ担当者が1人というケースもあります。

• 内部脅威：内部関係者による悪意ある行為や不注意による行為のリスクも、依然として重大な懸念事項です。

• リリース速度と安全な顧客体験：競争力を維持するには、迅速な開発サイクルと堅牢なセキュリティの両立が欠かせません。

開発者とセキュリティチームが直面する主な課題

開発者とセキュリティチームの連携は不可欠ですが、認識のずれや非効率を招く複数の課題によって、十分に機能していないことが少なくありません。大きな問題の一つが、共通認識の不足です。セキュリティチームは開発者が何を構築しているかを把握できないことが多く、その結果、足並みがそろわなくなります。

さらに、重要なビジネス面・技術面のコンテキストが欠けていると、脆弱性がビジネスに与える影響をチームが判断できず、リスクの優先順位付けが難しくなります。たとえば、一般公開アプリケーションのリスクと社内システムのリスクは異なります。

脆弱性が数十万件に及ぶことも珍しくない大手銀行では、この課題は一層深刻です。最も差し迫ったリスクを特定し、優先的に対処するための、的を絞ったアプローチが求められます。

リーダーが考慮すべき主なポイント

Pas Apicellaは、CTOとCISOの異なる優先事項を取り上げ、それぞれの補完的な役割を強調しました。CTOが重視するのは、自動化、開発者の生産性、使いやすさです。エンジニアリングチームがセキュリティツールをスムーズに導入できるようにするためです。一方、CISOはコンプライアンス、詳細なレポート、組織のリスク状況のリアルタイムな可視化を優先します。これらは、強固なガバナンスを維持するうえで不可欠です。

アプリケーションセキュリティの成功を定義する

アプリケーションセキュリティを成功させるには、明確な戦略と適切なツールが必要です。Pas Apicellaは、成功を支える5つの柱を次のように定義しました。

1. 開発者への定着：セキュリティツールは開発者にとって使いやすく、日々のワークフローに完全に統合されている必要があります。

2. セキュリティへの信頼：組織は、最新かつ信頼できるセキュリティデータに基づいて判断できなければなりません。

3. 修正の実現：脆弱性に効果的に対処できるよう、ツールは実行可能な修正ガイダンスを提供する必要があります。

4. 包括的なプラットフォーム：レポート、分析、ポリシー自動化を統合したツールによって、複雑さを軽減し、効率を高められます。

5. パートナーエコシステム：強固なテクノロジーパートナーのネットワークは、セキュリティのあらゆる領域におけるリスク軽減に役立ちます。

講演の全編をオンデマンドで視聴する

Pas Apicellaの講演全編はこちらからご覧いただけます。

金融サービス機関をSnykがどのように支援できるかを知り、お客様固有のニーズについて相談して最適なソリューションを検討するには、お問い合わせください。

Snykが金融サービス業界のデジタルの未来をどのように守っているか、今後もぜひご注目ください。