SnykCon振り返り：開発者を中心に据えたAppSecプログラムの構築

アプリケーションセキュリティプログラムの構築は、途方もない作業に感じられることがあります。チームにシフトレフトを促す情報が次々と発信されるのは心強いものの、何から始めればよいのかは分かりません。AppSecの取り組みが成熟した組織に目を向けると、その差は埋めようのないものに思え、実行可能な計画も見つからないままです。ソフトウェア開発のほかのあらゆることと同様、アプリケーションセキュリティも一朝一夕に実現するものではありません。指針があれば、その道のりはずっと進みやすくなります。

昨年のSnykConでは、AppSecに関する豊富なヒントやベストプラクティスが紹介されました。その中で、Snykのお客様が登壇した2つの講演では、組織でセキュアな開発文化を築き、維持するプロセスに焦点が当てられました。1つ目の講演では、VismaのAppSecアドバイザーであるPer Olsson氏が、開発者からセキュリティアドバイザーに転身して学んだ教訓を共有しました。もう1つでは、さまざまな業界のセキュリティ専門家3名によるパネルディスカッションで、効果的なセキュリティプログラムをゼロから構築した方法について話し合いました。

これらの講演は、成長過程にあるAppSecプログラムの各段階や節目、課題をどう乗り越えるかについての議論を促し、セキュリティ文化を成功に導く道筋を示してくれます。

AppSecプログラムをゼロから始める

AppSecとは？

プログラムをゼロから構築する際は、アプリケーションセキュリティとは何か、そして自組織にどのようなニーズがあるのかを理解することが重要です。Olsson氏は「AppSecは、アプリケーションセキュリティそのものの話ではない」と表現しました。セキュリティの出発点は人です。開発者、マネージャー、品質保証チーム、デザイナー、法務など、組織を構成するすべての人がセキュリティプログラムの土台を築きます。セキュリティインシデントの多くは人為的ミスが原因です。また、スケジュールが厳しいと、投資対効果が明確な機能開発やほかのタスクが優先され、セキュリティが後回しになることもあります。だからこそ、まずはセキュリティを優先事項にすることが大切です。

小さく始める

SnykConに登壇した専門家全員に共通していたのは、小さく始めることでした。広範なセキュリティプログラムは一夜にしてできるものではありません。立ち上げの初期段階では、他者と比較しないことが大切です。Vismaのセキュリティチームは、マネージャーと数名の開発者からなる任意参加のグループとしてスタートしました。PearsonのDevSecOps責任者であるNicholas Vinson氏と、10x Bankingのサイバーセキュリティデリバリー責任者である

Gagan Bhatia氏は、経験豊富なセキュリティエンジニアを、関心のある開発者が集まる小規模チームに参加させるようプロジェクトマネージャーに勧めました。チームで要件や潜在的な脅威を特定していくのです。すべての開発者とセキュアコーディングの実践方法を共有し、既存のSDLCにAppSecを取り入れる方法を工夫できるよう支援することが重要です。目指すべきは、セキュアコーディングを重視する文化への転換です。その第一歩は、一人ひとりから始まります。

コントロールを手放す

最後に、セキュリティチームは一部のコントロールを手放す必要があります。セキュリティチームの役割は、開発者を監視することではなく、導き、支援することです。従来のセキュリティ手法につきものだった縦割りの文化を改め、透明性を高めて部門間の連携を促す必要があります。組織内のチームごとに、ニーズも目標も開発・リリースの方法も異なります。開発チームに実行可能なツールとガイダンスを提供すれば、AppSecプログラムを自ら推進できるようになり、セキュアコーディングへの取り組みも強化されます。

Play Video: Lessons learned from building a developer-first AppSec program

成熟したAppSecアプローチを磨き上げる

継続的な改善

プログラムが軌道に乗ったら、改善のプロセスが始まります。セキュリティ、開発、マネジメントの各チーム間で信頼が深まるにつれて、ツールやワークフローを見直せるようになります。Olsson氏は、協力している開発チームへのインタビューを通じて改善に取り組みました。これにより、拡大するセキュリティチームは効率を高め、セキュリティ計画が開発者のニーズに合っているかを確認し、見落とされていた脅威を特定できました。セキュリティタスクをシフトレフトするうえで、自動化と継続的テストは、一貫したデータを提供してAppSecプログラムを支えます。

成功の定義

セキュリティチームが成長するなかで、成果を数値化できずに悩むことは少なくありません。機能のリリースとは異なり、セキュリティ施策の成果はすぐ目に見えるとは限りません（起きていない侵害をどう測ればよいのでしょうか）。ツールから大量のデータを得られても、その意味を捉えるのは難しい場合があります。セキュリティプログラムの成功を定義するにあたり、Skybetting & Gamingのアプリケーションセキュリティ製品マネージャー、Stefan Steglich氏は「昨日まで知らなかったことを何か知る」ことが大切だと語りました。

成功の測定方法は、プログラムの目的を支えるものであるべきで、その逆ではありません。また、小さな成功も忘れずに祝いましょう。プログラム全般への好意的なフィードバックでも、選定したセキュリティツールの利用が増えたことでも、立ち止まって、ここまでの歩みを振り返ることが大切です。

実践的な指標

実践的な指標について、Vinson氏は設計要件、運用指標、セキュリティ成熟度評価の3種類を追跡することを勧めています。設計要件は脅威モデリングの成果です。これらの指標から、AppSecプログラムが特定された潜在的リスクをすべて考慮できているかを確認し、新たな脅威の発生にも気づけます。運用指標は脆弱性に関する統計です。SASTスキャンの結果や修正件数などを通じて、脆弱性の傾向を把握し、設計要件の精度を高められます。最後に、セキュリティ成熟度評価によって、これらの指標とプログラム全体を文脈の中で捉えられます。この包括的な評価は、AppSecの取り組みが現在どの段階にあるのか、次の段階へ進む準備ができているのかを明らかにします。満たされていないニーズ、セキュリティタスクに対応するチームの能力、あらゆる階層でのセキュリティ原則の浸透状況に関するデータは、次のステップを計画するうえで不可欠です。

Play Video: Building an AppSec Program from the Ground Up

AppSecは開発者を支援するものであるべき

セキュリティチームのメンバーが1人でも100人でも、直面する課題は似ています。セキュリティ計画の策定、適切な指標の作成、そしてその内容をチームに説明することは、決して終わることのない継続的なプロセスです。成長段階にあるAppSecプログラムを支えるために選ぶツールは、その効果を大きく左右します。一般論にとどまるプログラムや理論モデルに頼るプログラムでは、個々の組織に合わせたセキュリティアプローチに対応できないでしょう。大量のデータを提供するスキャンソフトウェアはセキュリティ専門家には役立っても、支援したい開発者には使いづらいことがあります。

だからこそSnykは、開発者を中心に据えて設計されています。Snykのプラットフォームは、セキュリティチームと開発チームが1つのプラットフォームでアプリケーションを保護できるよう支援します。コーディング中にわずか5分で脆弱性を検出して修正できれば、AppSecプロセスのボトルネックを解消できます。今すぐ無料トライアルを始めて、何百万人もの開発者が迅速な開発とセキュリティの両立を実現するために、Snykがどのように役立っているかをご覧ください。