ウェビナーの振り返り：Snykとソフトウェアセキュリティの新時代

Snykのシニアプロダクトマーケティングマネージャー、Frank Fischerが先日、コード、依存関係、コンテナ、Infrastructure as Code（IaC）を保護する開発者向けセキュリティプラットフォームの価値についてウェビナーを開催しました。

この講演でFischerは、過去10年間に起きたソフトウェアセキュリティの変化、開発者がセキュリティプロセスに参加する必要性、そして開発ライフサイクル全体を保護するうえでのSnykの価値について語りました。

この記事では、プレゼンテーションで紹介された重要なポイントをいくつか取り上げます。

ソフトウェアセキュリティのパラダイムシフト

クラウド以前の時代には、ソフトウェアの運用と開発の間に明確な境界がありました。開発者はアプリケーションコードを書き、必要に応じて依存関係を追加したあと、そのコードをソフトウェアのデプロイと保守を担う運用チームに引き渡していました。

その結果、両者の間には必然的に溝が生まれました。開発者には製品の信頼性に責任を持つ動機がなく、運用担当者は迅速なリリースよりも、インフラの完全性を確保することを優先していました。

現在では、クラウドファーストのアーキテクチャが登場し、DevOpsが広く採用されるなか、企業はサイバーセキュリティを含む、エンジニアリングとITのあらゆる領域のスキル、プロセス、ツールを統合しています。その結果、パッチ未適用のオペレーティングシステム、開放ポート、インフラの設定ミスなど、以前は運用チームが対応していた多くのソフトウェアセキュリティの問題が、ソフトウェア開発の管轄になりました。

その結果、セキュリティの経験がない開発者も、脆弱性への責任を担う機会が増えています。一方で、IT運用チームは開発タスクも担うようになっています。こうした状況から、サイバーセキュリティをDevOpsライフサイクルのどこに組み込むべきなのかという疑問が生じます。

DevOpsには開発者ファーストのセキュリティが必要

セキュリティを導入するための特別な工程を設けるのではなく、DevOpsサイクルのあらゆる段階にセキュリティを組み込むべきだと私たちは考えています。この考え方は、開発者セキュリティ運用、すなわちDevSecOpsと呼ばれます。DevSecOpsでは、侵害やそれに伴うデータ損失を防ぐことを目指し、ソフトウェアの脆弱性に対する責任を全員が担います。

ソフトウェア開発にDevSecOpsが重要な理由は主に2つあります。1つ目は、サイバーセキュリティをDevOpsライフサイクルの特定の段階で行う特別な工程として扱うと、作業の流れを止め、ボトルネックを生むウォーターフォール型のアプローチに逆戻りしてしまうことです。チケットが積み上がり、コードはスキャン待ちとなり、問題のトリアージにも時間がかかります。これは関係者全員にとって好ましくない状況です。

DevSecOpsを導入すべきもう1つの大きな理由は、現在の労働市場ではセキュリティ専門家より開発者の数が多いことです。Cyberseekによると、サイバーセキュリティの求人100件に対し、条件を満たす人材はわずか68人です。米国では毎年、サイバーセキュリティの求人が60万件以上発生しています。

だからこそSnykは、ソフトウェアセキュリティは開発者から始めるべきだと考えています。ただし、開発者に負担を感じさせたり、作業量を増やしたりする形であってはなりません。既存のワークフローやプロセスの中で、セキュリティを高め、脆弱性を減らす変更を自信を持って行えるようにする必要があります。

安全で直感的な開発体験をSnykが支援

Snykのクラウドネイティブなアプリケーションセキュリティプラットフォームを使えば、コードやオープンソースからコンテナ、クラウドインフラまで、アプリケーション全体のセキュリティを開発者自身が担い、構築できます。Snykは開発者向けツールとして機能するため、ソフトウェア開発ライフサイクルのあらゆる段階で、既存のツール、パイプライン、ワークフローにシームレスに統合されます。

• Snyk Codeを使うと、開発中にアプリケーションコードの脆弱性をリアルタイムで検出し、修正できます。セキュリティ上の問題を説明やサンプルとともに提示する、AIを活用したセマンティックコード解析も利用できます。

• Snyk Open Sourceを使うと、オープンソースの依存関係にある脆弱性を自動的に特定し、優先順位を付けて修正できます。必要なアップグレードやパッチを含む修正用プルリクエストをワンクリックで作成し、修正を自動化することも可能です。

• Snyk Containerを使うと、コンテナやKubernetesアプリケーションの脆弱性をすばやく検出し、修正できます。たとえばRedditはSnyk Containerを利用し、イメージ内の脆弱性を94%削減しました。

• Snyk IaCを使うと、Kubernetes、CloudFormation、TerraformのIaCに関する問題を、コードの記述中やCI/CDパイプラインの実行時に検出し、修正できます。設定ミスをできるだけ早い段階で検出して修正することで、セキュリティチームの要件を一度に満たせます。

誰もが活用できる、業界をリードするセキュリティインテリジェンス

当社のDevSecOpsテクノロジーを際立たせる「Xファクター」の1つは、業界をリードするセキュリティインテリジェンスです。専任のリサーチチームが維持する包括的なセキュリティインテリジェンスデータベースには、公開情報、開発者コミュニティからの投稿、独自調査、機械学習が活用されています。これにより、今日見られる急速に変化する新たな脅威に継続的に対応できます。

セキュリティインテリジェンスを支えるもう1つの重要な要素は、新たな知見をSnykユーザーに伝え、最新の状況を常に把握できるようにすることです。これにより、コミュニティのメンバーは迅速に行動し、次のステップや優先すべき対策について、十分な情報に基づいて判断できます。

開発ライフサイクル全体を保護する

今日のビジネスとサイバーセキュリティの環境では、一秒一秒が重要です。後に重大なセキュリティインシデントにつながりかねない摩擦や不具合を、どの段階にも残す余裕はありません。Snykを使えば、DevSecOpsのベストプラクティスに関する経験を問わず、あらゆる開発者のツールキットにセキュリティの専門知識を取り入れられます。