しかし、アプリケーションセキュリティについてはどうでしょうか。

アプリケーション開発は大きく変化し、そのほとんどが自動化されていますが、セキュリティは依然として手作業が多く残されています。開発者やDevOps担当者の数は、セキュリティ担当者の数を100倍も上回っています。市場投入までの時間の短縮を迫られることで、アプリケーションチームとセキュリティチームの間にフラストレーションが生じ、セキュリティがボトルネックになっているという認識が生まれています。これは深刻なジレンマであり、その多くでテストが十分に行われない、プロセスを省略する、監視が効果的に行われないなどの状況を引き起こしています。

一方、アーキテクチャ、クラウド、サードパーティ統合が急増したことで、多くの企業にとって脅威の対象が劇的に増加しています。クロスサイトスクリプティング（XSS）やインジェクションなどのアプリケーション脆弱性は、アプリケーションセキュリティの黎明期である20年以上前から存在していましたが、攻撃者は驚くべき速さでこれらの脆弱性を発見し、悪用し続けています。攻撃者は、インターネットをスキャンする自動化フレームワークを使用して脆弱性を迅速に武器化し、金銭的利益を得るために弱点を発見して悪用します。特にオープンソースソフトウェアは脆弱性に悩まされ、未知の大きなリスクを引き起こしています。

F5 Labsによると、最も深刻な攻撃の1つであるリモートコード実行の可能性がある重大な脆弱性は、9時間ごとにリリースされているとのことです。

複数のアーキテクチャ、クラウド、開発者のフレームワークにわたって複雑化するアプリケーションのセキュリティを効果的に管理するため、企業は戦略を転換し、視点を変える必要があります。

シフトレフトと視点の転換の必要性

アプリケーションの構築と導入の方法に応じて、リスクは変化しています。そのため、アプリケーションの脆弱性に事前に対処するようにセキュリティを転換する必要があります。可視性と一貫性はこれまでと同様に重要ですが、企業はアプリケーションセキュリティの実装方法をパラダイム シフトさせる必要があります。アプリケーションをリリースした後でセキュリティポリシーを構築し、誤検出を検証してポリシーを安定させ、調整し、さらにアプリケーションを危険にさらす可能性のある新たに公開された脆弱性を監視するのではなく、アーキテクチャ、クラウド、フレームワークを問わず、アプリケーションセキュリティをアプリケーション開発ライフサイクルに本質的に統合する必要があります。

自動化され、統合され、適応性を備えたアプリケーションセキュリティが最も効果的です。自動化は、アプリケーションのリリース、導入、およびメンテナンス時の運用コスト（OpEx）を削減し、重要なセキュリティリソースへの負担を軽減します。ポリシー導入の自動化により、ソフトウェア開発ライフサイクル（SDLC）の早い段階でセキュリティ対策を実装し安定させることで有効性を高め、手動での介入が少なくても高い効果が得られるため、InfoSecチームは大量のアラートや誤検出から解放され、より戦略的なリスク管理の取り組みに集中できます。また、アプリケーション開発フレームワークと継続的統合 / 継続的デリバリ（CI/CD）のパイプラインにネイティブに統合することで、開発チームとセキュリティ チームの間のフランストレーションを軽減し、ビジネスの俊敏性と組織的連携を向上させることができます。

APIによるデプロイメント入とメンテナンスによる開発者ツールへの統合により、インフラストラクチャの複雑さを取り除き、運用上のオーバーヘッドを減らし、設定ミスを防ぐことで、複数のアーキテクチャやクラウドにわたるポリシー管理と変更管理が簡素化されます。

さらに、セキュリティ対策は正確かつ弾力的であるべきであり、顧客を失望させたり、攻撃者が検知を逃れるためにキャンペーンをエスカレートさせたりすることを避けなければなりません。消費者はパーソナライズされ、キュレートされた体験を求めており、巧妙な攻撃者を簡単に阻止することはできません。

ユーザビリティを損なわない効果的なセキュリティは、競争の激しいデジタル経済において、顧客を獲得して維持するための重要な差別化要因となります。