分断を乗り越える：柔軟性とセキュリティ

Robert Haynesテクニカルマーケティングマネージャー

2つのものが必要なのに、その2つは両立しないと「誰もが知っている」場合、どうしますか？

ネットワークとセキュリティの分野では、「セキュアなソフトウェアアーキテクチャは柔軟性に欠け、アジャイル開発で提供されるソフトウェアは安全性が低い」という通説が長年信じられてきました。しかし、少し立ち止まって考えてみましょう。反復型モデルで開発されたソフトウェアは本質的に安全性が低いという根拠はあるのでしょうか。仮にあるとしても、私の「調査」（つまりGoogle検索）では、これといった根拠は見つかりませんでした。

実際、デリバリーサイクルの短縮と、自動化され効率化されたリリースプロセスによって、脆弱性にさらされる時間が全体として短くなり、リスクが低減されるという主張には十分な説得力があります。

では、柔軟性とセキュリティの間には本当に隔たりがあるのでしょうか。残念ながら、今もなお、あると言わざるを得ません。

しかし、アジャイルなソフトウェアライフサイクルによって、コードに内在する脆弱性が増えるとは考えていません。コンテナ管理システムなどの新しいプラットフォームの一部が、新たな攻撃対象領域を生み出すことは確かですが、アプリケーションコードは組織全体のセキュリティ態勢を構成する一要素にすぎないためです。

すべてのソフトウェアには欠陥があることを踏まえ、ITテクノロジースタックには、ネットワークファイアウォール、侵入検知システム、Webアプリケーションファイアウォールなど、アプリケーションコードの外部にあるセキュリティ制御も含まれています。こうしたシステムの多くは、アプリケーションの動作を追跡し、フレームワークやオペレーティングシステムで新たに発見された脅威に対応する必要があります。理想的には、これらのシステムにもソフトウェアデリバリーライフサイクルと同等のアジリティが求められます。そうでなければ、セキュリティ制御がデリバリー速度や価値実現までの時間を損なうものと見なされるか、本来の目的である保護を提供できなくなるかの、いずれかが起こります。どちらも決して望ましい状況ではありません。

明らかな解決策は、セキュリティ制御モデルをソフトウェアデリバリーライフサイクルのモデルに近づけることです。実際、DevSecOpsでは、セキュリティ制御の提供にソフトウェアエンジニアリングとDevOpsのプラクティスを適用し、高度な専門知識は経験豊富な専門家チームが担いつつも、セキュリティに対する責任をチーム全員で共有する取り組みが始まっています。

この文化的変革と並行して、テクノロジーも進化し、セキュリティ制御の実装がソフトウェアデリバリーパイプラインに統合されるようになります。セキュリティ制御は最後に付け加えられるのではなく、ソフトウェアの新たなイテレーションごとに、テスト、ステージング、デプロイの各工程を通じて適用されます。テレメトリと追跡可能性を確保する要素がスタック内の複数のポイントに組み込まれ、追跡されます。また、攻撃者の特定、追跡、報告に役立つ新たな指標を迅速に収集し、分析できるようになります。

これを実現するには、チーム同士だけでなく、テクノロジースタックも連携する必要があります。これは、将来のF5 + NGINX組織がもたらす最も興味深い可能性の1つです。ネットワークファイアウォールからアプリケーションサーバーまで、その間のあらゆるレイヤーを網羅するポートフォリオにより、セキュリティ制御をさらに俊敏に統合し、より多くの情報を提供できる可能性が大きく広がります。エンタープライズクラスのセキュリティと可視性に軽量な俊敏性を組み合わせることで、チームの全員が求めるツールや情報、そして（ある程度の）安心感を提供できる可能性があります。

F5とNGINXの統合がもたらすメリットについて詳しくは、F5のCEOが「Bridging the Divide」ブログシリーズを紹介する記事をご覧ください。

著者について

Robert Haynesテクニカルマーケティングマネージャー

Robert Haynesのその他のブログ記事