効果的なセキュリティプログラムを構築するための3つのポイント

本記事は、アイデンティティセキュリティ企業ConductorOneのCEO兼共同創業者、Alex Bovee氏による寄稿です。

技術が目まぐるしく進化する今日、効果的なセキュリティプログラムの構築は、あらゆる組織にとって不可欠です。ConductorOneが制作する新しいポッドキャスト「All Aboard」に、SnykのCEO兼共同創業者であるGuy Podjarny氏をゲストとしてお迎えできたことを光栄に思います。

対談では、クラウドファーストの環境でセキュリティ対策を拡張する方法、セキュリティプログラムの成果を測定する方法、そして現在のマクロ経済状況がセキュリティ分野の購買行動に与える影響についての予測を話し合いました。

対談の主な内容を以下にご紹介します。全編をお聴きになるには、こちらをご覧ください（Apple PodcastsとSpotifyでも配信中です）。

シフトレフトでセキュリティ対策を拡張する

「シフトレフト」が広く支持されるようになったのは、効率が高いためです。下流工程の監査で問題を見つけるより、開発段階で見つけるほうが、コストは100分の1で済み、効率も大幅に高まります。この10年でソフトウェアの導入ペースは劇的に変化し、「ソフトウェアの進化に個別に追いついていくことは、ますます現実的でなくなっている」とGuy氏は語ります。 

この枠組みへの適応は簡単ではありませんでした。しかし、効率性の向上や、より機敏で生産性の高いチームを実現できるという期待があったため、短期的な痛みを受け入れる価値はありました。結局のところ、開発者も経営陣も、競合より速いペースで構築やイノベーションを実現したいと考えています。セキュリティチームは、こうした視点から自らの責務を捉えることが重要です。「優れたセキュリティチームは、自分たちをプラットフォームとして捉えています」とGuy氏は話します。「開発者が安全なアプリケーションをより速く構築できるようにすることで、成果を上げるのです。」

セキュリティにおけるアジャイル開発の考え方は、ユーザーが実際に判断を下すタイミングに、ガードレールや対策を近づけることにたとえられます。「安全な判断ができるよう支援する、あるいは安全でない判断をできないようにするのです」とGuy氏は説明します。セキュリティチームは、開発パイプラインに知識や専門性を組み込む創造的な方法を見つけ、ユーザーがビジネス価値を生み出せるようにする必要があります。

セキュリティプログラムの成果を測定する

セキュリティプログラムの成果を測定するための実践的な方法は3つあります。

1. 測定可能なKPI（重要業績評価指標）を用いる：インシデントへの対応速度はどれくらいか。下流工程で見つかった問題のうち、事前に特定できていたものはいくつか。実際にテストに取り組み、成功している人や開発チームはどれくらいで、テストをしていないのはどれくらいか。組織に最適だと考える形でセキュリティプログラムを構築するなら、それが機能していることを測定し、検証する複数の方法が必要です。

2. セキュリティ対策の成果を見る：脆弱性はいくつあるか。どれくらいの速さで対処できるか。対策の成果を検証することは、セキュリティ態勢を測る比較的簡単な指標としても役立ちます。また、成果がなければ、このインシデントから得られるKPIもないため、重要です。 

3. 測定が最も難しい一方で、最良の指標となる有効性：セキュリティプログラムは攻撃者からどの程度組織を守れているか。測定は最も困難ですが、外部検証が最善の方法です。バグバウンティの報告は何件あったか。レッドチームによるテストは何件実施されたか。問題はいくつ見つかったか。完全に網羅することはできません。網羅的な検証には費用がかかりすぎるからです。それでも、特に機密性の高い資産を対象とする追加のスポットチェックとして有効です。リスクを低減するだけでなく、開発者の生産性をどう向上させるかも重要です。問題をどれだけ速く修正できるでしょうか。

生産性と効率性に注目する

セキュリティチームも、自ら開発を担うようになっています。Netflixが広めた「舗装された道（paved road）」という考え方は、プラットフォームチームが必要な対策をすべて備えた道を整備し、チームがその道に沿って進めるよう促すものです。開発者はその道を外れてもかまいませんが、その場合は追加要件を満たし、セキュリティやコンプライアンスを自ら証明するために、より多くの負担を引き受ける必要があります。

舗装された道があれば、ユーザーが別の道を選ぶ可能性は低くなります。現代のソリューションでは、摩擦のないユーザー体験がますます重要です。たとえばアイデンティティセキュリティでは、過剰な権限付与が原因でセキュリティ侵害が起きるケースがよくあります。なぜでしょうか。組織全体の権限を追跡、監査、取り消す作業が煩雑だからです。その結果、権限や認証情報が宙に浮いたままになります。過去10年間、Security Products部門で働く中でこの課題を自ら経験し、解決するためにConductorOneを共同創業しました。 

現在のマクロ経済状況を踏まえると、全社的な統合を推し進める動きと、効率化やコスト削減を目指す動きが衝突することも避けられません。後者は本質的に分散化を重視する傾向があります。Guy氏は「2023年は、多くの場所にとって地に足をつけて考える年になると思います」と語ります。 

リスク低減の観点から価値を示すとともに、ソリューションが生産性向上にどう役立つかを示すことは、購買判断においてこれまで以上に重要になります。実用性を重視し、少ないリソースでより多くのことを実現したり、より多くのツールと連携したりできる製品が選ばれるでしょう。 

測定の話に戻ると、確立されたベンチマークがないことについて、Guy氏はこう述べています。「セキュリティ業界には、他の多くの業界よりも主観が入り込む余地が依然として大きくあります。うまくいくこともあれば、そうでないこともあります。しかし今、私たちは皆、それについて真剣に考えざるを得ません。これは健全な傾向です。」