診断内製化の成功ポイントこれまで「高度な職人技」とみなされてきた脆弱性診断。SECURITYが、今回は脆弱性診断内製化をテーマに、セミナー「サイバーセキュリティアカデミー」を7月下旬都内で開催した。拡大写真これまで「高度な職人技」とみなされてきた脆弱性診断。テーマに、セミナー「サイバーセキュリティアカデミー」を7月下旬都内で開催した。成功ポイントはどこにあるのか。氏の講演内容から探ってみよう。優秀なセキュリティ診断員は、単なるセキュリティエンジニアとしての防御に関する技術や知見だけではなく、攻撃技術やハッキングのノウハウにも長けている必要がある。した「攻撃者視点の知見」は簡単に身につくものではなく、教育・育成に時間とコストがかかる。そもそも、そのような高度なセキュリティ人材による診断内製化は果たして可能なのか、意味があるのか。松野氏は講演冒頭で問題提起を行った。内製化のために、教育や研修に投資し、ときに組織体制を変えて準備を行っても、内製化の取り組みが成功するとは限らない、その最大の原因のひとつとして松野氏は、専門スキルを持つプロフェッショナルや職人を育てる方法が確立されていないことを挙げた。そのうえで松野氏は、どこまでを社内で内製化し、どこからを社外のセキュリティ専門企業に外注するのかを正確に見極めることが内製化成功の秘訣だと語った。頻度が高い診断業務や、ツールによる診断の自動化が可能な診断業務は外注するよりも積極的に内製化するべきであり、一方で人力による膨大な単純作業や、その正反対の、高度な技術者でなければできないような診断業務は外注する、といった判断だ。%が、自動診断ツールや一般的練度の技術者でも対応可能な作業の集まりだという。SE」が対応可能なのだ。年にクラウド型Web脆弱性診断ツール「VAddy」をリリースし、「自動診断ツールでできる範囲の脆弱性診断は、開発者自身が自ら行うことがサービスのタイムリーなリリースやコスト削減につながる」というメッセージを開発者に向けて発しつづけてきた。取締役は本誌に明かした。年で状況が一変した(西野氏)」という。ひとつは「根本的対策」へユーザー企業の目が向いた。アプリの防御対策として有効だが、脆弱性はそこに潜在しつづける。セキュリティ診断需要過多の市場状況で、ユーザー企業が診断をしてほしいにも関わらず、当の診断会社が一年先までバックオーダーを抱えていることも珍しくなく、対応してもらえない、断られるなどの供給側の課題深刻化も、内製化を後押しした。「サプライチェーン攻撃」を指摘したように、ターゲットの本丸である大企業のセキュリティレベルが上がったことで供給網や商流の弱いところを狙い撃ちにするサプライチェーンアタックの被害が増加したことだという。インジェクション対策の実施状況のレポート」を求められる事態が発生しているという。インジェクション等の何たるかをわかっていないところだ。電通はすべての発注先に対して、プライバシーマーク取得を同社との取引継続の必要条件に挙げた。結果、国内でのプライバシーマーク普及が進んだが、サプライチェーンの安全対策見直しが、脆弱性診断の機運となっているようだ。多くの企業は、脆弱性診断を都度セキュリティ専門企業に発注する余裕はない。」がその需要にピッタリだった。脆弱性診断は高度なハッカー人材が行う、匠の職人技であり、属人性が高いことはサービス品質の高さとイコールであるとすらされてきた診断市場で、「誰でも使えるサービスを安く提供」「誰がやっても同じ診断結果」そんな、いわば業界潮流の「逆張り」をつづけてきたビットフォレスト社が、新しいセキュリティドリームをつかんだと言えるかもしれない。●ツールが向いている診断範囲の「見極め」ツールによる脆弱性診断の内製化とはいうものの、ツール導入で問題解決というものでもない。内製化を成功させるポイントとして西野氏は具体的事例を挙げ注意を促した。ひとつは、アウトソースしていた脆弱性診断の作業をそっくりそのまま内部に展開しても成功しない。松野氏の指摘ポイントと共通するが、ツールの活用が有効な診断作業を見極めることが重要になる。すべてのサービスのチェックが情シスや品質管理部門など特定部署に集中してチェックが追いつかなくなることがあるという。「自動ツールなのだから」と依頼が殺到するだけでなく、依頼先が外部の企業ではなく社内の部門である気軽さ頼みやすさが問題に拍車をかけることもある。その場合は各部門自身に診断を実施させ、情シスやセキュリティ部門は、その診断結果のレビューを行うようにすれば、より上位の問題や脆弱性の発見に注力できるようになるという。最後に西野氏は、ツール診断「だけ」でセキュリティを担保できるわけではなく、検査精度の点では、社内外の技術者が行う「手動診断」はツール診断の上位互換関係にあると語り、両者の使いどころを見極める必要性を説いた。企業が行う、脆弱性発見成果に巨額の懸賞金(バウンティ)をかけ世界の腕に覚えのある猛者に診断させる「バグバウンティ」など、多様なセキュリティ診断サービスが市場には存在する。西野氏の言うとおり手動診断がツール診断の上位互換関係だとしても、ツールでできるレベルの診断をわざわざ人件費の高い著名エンジニアを指名して手動による診断などを依頼していたら予算はいくらあっても足りないだろう。どのサービスが劣っている優れているという訳では決してない。ユーザー企業は、自社のニーズを見極めることが重要であり、内製化を進めるうえでも忘れてはならない視点である。サイトに掲載の記事・見出し・写真・画像の無断転載を禁じます。+1ラインに送るはてなブックマーク。