脆弱性を把握するだけでは不十分

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

継続的ITの実現に向けた取り組みを進める中、セキュリティに大きな注目が集まっています。それも当然です。侵害が相次ぎ、脆弱性は日々発見されていますが、パッチギャップは一向に縮まる気配がありません。

コードのセキュリティを高めるためによく提案される対策の1つが、ソースコードのスキャンです。静的および動的セキュリティスキャンは、継続的デリバリープロセスに欠かせない要素となっています。F5の社内パイプラインにもこれらのスキャンが組み込まれており、検出された内容はいつでもダッシュボードで確認できます。

しかし、G.I.ジョーが教えてくれるように、ソースコードに脆弱性が存在すると知ることは、戦いの半分にすぎません。 残りの半分が本当に青と赤のレーザーなら興味深いところですが、アプリケーションセキュリティの現実では、残りの半分は「その脆弱性に対処すること」です。残念ながら、それが実行に移されているとは言えません。 Tripwireのレポート（2019年コンテナセキュリティの現状）をご記憶かもしれません。この調査では、回答者の17%が、脆弱性のあるコンテナを保有し、それを把握していながら、そのままデプロイしたと認めています。 また、モバイルおよびIoTアプリケーションセキュリティに関する2017年のArxan/IBMレポートでは、回答者の53%がモバイルアプリに静的セキュリティテストを、51%が動的セキュリティテストを使用していることが明らかになりました。しかし、侵害に対する懸念が大きいにもかかわらず、半数近く（44%）が侵害を防ぐための対策を何も講じていませんでした。

テストを実施せず、既知の脆弱性にも対処しないという問題は、ほぼ例外なく、価値実現までの時間を短縮しなければならないというプレッシャーに関係しています。開発者の約半数（48%）が、セキュリティに割く時間が十分にないと回答しています（2018 DevSecOpsコミュニティ調査）。ほかの調査でも同様の結果が示されており、開発者は、より迅速かつ頻繁にコードをリリースするよう、非常に強いプレッシャーにさらされています。データパスでもデリバリーパスでも、スピードが優先されると、セキュリティは依然として後回しにされる「もの」であることがわかります。

人は評価指標に沿って行動することが広く知られています。開発者も人である以上、この原則が当てはまります。市場投入までの速さで評価されるなら、セキュリティを損なう手順の省略につながるとしても、迅速な市場投入を目指すでしょう。セキュアなアプリケーションを市場に提供するには、セキュリティを確保した市場投入を迅速な市場投入と同等に評価し、重視する文化へと転換する必要があります。

そうならない限り、脆弱性への対処を開発者に頼るのは、赤と青のレーザーに頼るのと同じくらい安全とは言えません。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事