2018」に合わせて来日したガートナーのリサーチ・ディレクター、マーク・ホーヴァス氏に、安全なアプリケーション開発を実現するコツを尋ねた。});デジタルトランスフォーメーションが加速する中、価値を生み出し、差別化を図る源泉力となるのはソフトウェアの力だ。そのソフトウェアに脆弱(ぜいじゃく)性があれば、外部からの攻撃を受けて被害に遭うだけではなく、自社の顧客にも損害を与えかねない。そんな事態を避けるには、どういった対策が必要だろうか。2018」に合わせて来日したガートナーのリサーチ・ディレクター、マーク・ホーヴァス氏に聞いた。3つの原則をお勧めしています。1つ目は、開発段階からコードをテストし、適切に修正すること。2つ目はセキュリティに関するナレッジを持った人が開発者と近い距離にあること。最後は、開発者に理解できる言葉でセキュリティを説明することです。開発者はコードのライフサイクルの最初から最後まで「オーナー」であるべきですし、セキュリティもその責任範囲に含まれるべきです。「一通り開発が終われば運用やQA、セキュリティ担当者に投げてしまい、修正もそちら任せ」というのが昔の開発スタイルでしたが、今は違います。開発者がセキュリティについてもオーナーシップを持つべきです。それには、開発者側だけではなく、セキュリティ担当者側も変わらなければいけません。セキュリティ担当者の役割は、問題があるからといって何かを止めさせるのではなく、開発者がセキュリティを推進できるようサポートすることです。それには、セキュリティ業界の専門用語ではなく、開発者にも分かる言葉を使ってコミュニケーションを取らなければいけません。一方で、開発者も「自分の好きなように開発できる」という自由を享受するだけではなく、責任も伴わなければいけません。彼らも、セキュリティや運用に関する言葉を理解していく必要があるでしょう。DevSecOpsの取り組みがうまくいっている企業では、こうした言葉や役割がうまく一つに統合されています。——開発には、同時に「スピード」が求められます。セキュリティと両立させるのは難しいのではないでしょうか。やり方はいろいろありますが、開発スピードとの両立を図るには、まずは可能な限り自動化することが不可欠です。テストを行い、そこで見つかった問題を修正するプロセスを人手だけに頼るのは困難です。アプリケーション側にインテリジェンスを組み込み、攻撃を受けたら、人が介入しなくてもダイナミックに保護機能を実装するといったことを自動的に実現する必要もあるでしょう。一つは、開発の前の段階、設計段階からセキュリティについて考慮し、セキュリティを組み込んだアーキテクチャを実現することです。初めからセキュリティを組み入れることで、開発者の負担を減らすことができるでしょう。品質は高まる一方でコストはより少なく、修正もより迅速に行えます。IDEにセキュリティ上の脆弱性やバグを洗い出すツールを組み込み、スペルチェックと同じようにチェックし、問題を見つけたら「別のライブラリを使うべきです」と開発中に提案するようにすれば、修正は数分程度ですみます。この段階で脆弱性を修正せずに運用に入ってから直すとなれば、コストは25倍に膨らむでしょう。幾つかAIや機械学習を適用できる領域があるでしょう。コードの脆弱性スキャンを行うツールを使えば作業をある程度自動化できますが、中には誤検知やミスもあります。AIでそうした誤検知を発見し、補うことも可能でしょう。1社で全てを開発できればいいですが、そうもいかないことの方が多いですよね。開発の各フェーズで有効なツールを活用することをお勧めしています。静的解析ツール(SAST)、次はアプリケーションの稼働中に行う動的解析ツール(DAST)、それから、既知の脆弱性や問題を洗い出すインタラクティブ解析の3つを、開発ライフサイクルの初期段階から活用するのがお勧めです。開発の一部を外注するのであれば、外注先独自のチェックだけでなく、サードパーティーのツールによる解析結果を証拠として添えて、「要求するレベルを満たしているか』を確認すべきでしょう。オープンソースソフトウェアになりすましたマルウェアや、サードパーティー製のプロプライエタリなコードが含まれていないかをスキャンするソフトウェアコンポジション分析が重要です。オープンソースソフトウェアは素晴らしいものですが、それでもスキャンは必須です。「見つかった脆弱性を誰がどのように修正すべきか」は、深刻度や影響範囲によって異なってくるでしょう。オリジナルのコードを書いた人が修正すべきでしょうが、必ずしもコミュニティー側にセキュリティの専門知識を持った人がいるとは限りません。時にはハッカーコミュニティーが修正することもあり得るでしょう。理想を言えば、コードをチェックインする前には静的解析を行うべきでしょうが、解析結果を読み解き、適切に修正するには相応の知識も必要になります。ヘルスケア・医療機器業界では当局が厳しい法規制を定めており、比較的セキュリティが確保できているといえます。それ以外のIoTデバイスの領域では、まだまだやるべきことが山積みの状態ですね。市場に製品を出すことを優先し、セキュリティが後回しにされるケースは少なくありません。問題の影響を受けた消費者の苦情が大きくなれば、セキュリティについての意識も徐々に高まっていくと思います。——最後に、セキュアな開発プロセスを実現するために、一言アドバイスをお願いします。DevOpsという新しいモデルは、開発者が作りたいものを作れる自由を与えてくれますが、同時に責任も伴います。25年前の皆さんの親の世代とは異なり、今は多くの成熟したツールがあるため、煩雑な作業の多くを自動化できます。コードのオーナーたれ、そしてセキュリティに関してもより良い仕事をしてください。過去に比べれば、それは簡単なはずです。「シフトレフト」がセキュリティ対策やインシデント対応にも有効な理由@ITは、2018年6月22日、東京で「@ITセキュリティセミナー」を開催した。本稿では、基調講演「もし組織に、突然サイバー攻撃が予告されたなら」の内容をお伝えする。日本CAはセキュアなソフトウェア開発に関する調査結果を2018年7月9日に発表した。日本では企業文化が、セキュアなソフトウェア開発ライフサイクルの採用を妨げている場合が多いと分かった。「セキュア開発」はなぜ浸透しないのか?——DevSecOpsを妨げる“4つの敵”本稿では、@IT編集部が2017年2月7日に東京で開催した「@ITセキュリティセミナー」レポート第2弾(東京Bトラック編)をお届けする。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。