エンタープライズ・ソフトウェアの脆弱性対策に携わるセキュリティ専門家にとって、同じ種類の脆弱性に対してパッチや緩和策を繰り返すのは、まるで「聖濁節」のように思えることがある。発表したレポートによると、この既視感は決して気のせいではないようだ。データベースによると、ソフトウェアの脆弱性の中で最も一般的な5つのカテゴリーは、この3年間に渡ってほぼ同じであることが分かった。レポートを調べてみると、クロスサイト・スクリプティングやアクセス制御の問題といった脆弱性は、2003年から蔓延し続けていることも分かった。レポートが明らかにしている。601人を対象とした、調査に基づく、ものである。500人以上の組織に勤務し、ペネトレーション・テストの経験がある。1,602件のペン・テストのデータも評価されている。安全なソフトウェア開発手法が義務付けられると答えているが、実際のところ、脆弱性は繰り返して発生する。54件の脆弱性を発見/修正したと答えている。回答者は、発見/修正したはずの脆弱性が、後に再発するのを目撃したと答えている。再発の原因の一つは、アプリケーションのレビューが、不完全だったことにあると考えられる。その理由は、主に経済的なものだと思われる。ペネトレーション・テストのスキルセットを持つ人材の、確保や雇用が困難であると回答している。ペネトレーション・テストを行う予算がないと答えている。経済的な問題に続いて、ペネトレーション・テストには本質的な難しさがある。ペネトレーション・テストの実施は難しいと回答している。重要な脆弱性をタイムリーに修正できると回答していることだ。その一方で、中低ランクの脆弱性への対応は、かなり遅いとされている。回答者の4分の1は、中低ランク脆弱性への対応に、60日以上が必要だと回答している。回答者の大多数は、エンジニアリング・チームとの関係を改善できると答えている。回答者は、セキュリティ・チームとエンジニアリング・チームは相互に絡み合っていると回答した。改善の余地があると、明確に認められた分野があり、とりわけ自動化に関しては、その傾向が顕著だ。ペン・テストで発見した問題を、手動で修正していると答えている。予想された結果だが、上手く機能しない原因について、回答者の半数は、ワークフローの非効率性がエンジニアリング・チームから指摘されると述べている。すべてを人手に頼るのでは、必要な脆弱性情報を収集することも困難だと思います。したがって、さまざまな局面で自動化を試みることが、セキュリティ・チームの命題になっているのでしょう。ペンテストを実施するにしても、超えなければならない課題があるようです。それ以前に、ソフトウェア資産リストの作成と運用があり、そこでもスキャナーを上手く使うという課題があります。脆弱性情報との自動突合を行うための環境作りなど、たくさんのハードルがあります。一つ一つ、対応していく他に、道はなさそうですね。