私は、AppSecのプロフェッショナルとしてのキャリアを通じて、業界で最も素晴らしい才能を持つ人々と出会い、ネットワークを築くことができました。これらの人々は、世界で増え続けるコードの網のセキュリティと強化に貢献しています。現在、私は、ソフトウェアセキュリティの未来のスターたちに話をするよう依頼されることが多く、この仕事が大好きです。しかし、背伸びして自分の役割を果たそうとしている人たちにとって、リーダーやメンターとして目に見える存在であることがどれほど重要かということも理解しています。

最近、私はチームの何人かとロンドンにいました。 Secure Code Warriorこのイベントは、一握りのAppSecのスーパースターを集めて、ネットワーキング、洞察力、そしてお菓子を食べてもらうことを目的としています。60人以上の招待客を前に、彼らは専門家パネルの一員として豊富な専門知識を伝授し、アプリケーションセキュリティの未来について皆を興奮させました。

パネルディスカッションでは、組織のAppSec予算を最大限に活用する方法など、話題性のある問題が取り上げられ、会場からはいくつかの質問が出されました。パネルディスカッションでは、セキュリティマネージャーやスペシャリスト、開発者が組織内で実行可能なプログラムを構築する上で、間違いなく役立つ本物のモーニングマジックが披露されました。

パネルディスカッション「Tools Vs. People」では、以下のリーダーをお迎えすることができました。Your AppSec Budget Is Adequate Addressing Both?

• ソシエテジェネラル、CISO、ヴィンセント・ギルバート氏
• Cetome社、CEO、C̩̩̩Levy-B̩ncheton氏
• Reena Shah, Head of Security & Privacy Culture and Awareness,M&G Prudential
• ピアソン社、グローバルAppSecディレクター、Lee Thurlow氏
• Bramfitt Lab.マネージング・ディレクターのLewis Bramfitt氏。

各講演者は、AppSecツールの現状について、それぞれの考えを述べました（ネタバレになりますが、多くの組織が非常に多くのソフトウェアを生成しているため、必要な機能をすべて実行するツールを選択するのは地雷原のようなものです。結局のところ、単一のツールですべてをカバーすることはできません。)

Reena Shahも興味深い指摘をしています。わずか数年の間に、大企業におけるAppSecに対する認識が好転し、セキュリティのベストプラクティスと文化を維持するための人材への投資という重要な要素が形作られ始めています。

"変化している "と思います。私が4年前にこの仕事を始めたとき、セキュリティ文化や意識の向上のために予算やチームを確保するのは本当に大変でした。しかし今では、それは私の課題ではなくなりました。リスクを減らすためには、これだけの予算が必要で、これだけの人材が必要だ」と言うのはとても簡単なことです。これは、取締役会や経営陣が、セキュリティインシデントを減らすために資金を提供することがいかに重要かを理解しているからだと思います」。と語っています。

パネルの様子は今すぐご覧いただけます。

これからのAppSecは、最前線の開発者に適切なトレーニングと知識を提供することに重点を置き、いまだに頭をもたげる昔ながらの脆弱性に対して強固な防御を形成できるようになると考えると、私にとっては非常に新鮮なことです。

ツールも一つのサポートにはなりますが、そろそろ現実を直視しなければなりません。同じ過ちを繰り返さないようにしなければなりません。

AppSecのエラーループを閉じる

また、Leaders in AppSecブランチの一環として、同じセキュリティ脆弱性が何度も出現するという、コストのかかる継続的な問題にどのように対処すればよいかについてプレゼンテーションを行いました。ツールは脆弱性を見つけることはできても、それを防ぐことはできません。開発者が適切なトレーニングを受けて、最初から脆弱性の発生を防ぐ必要があります。

そして、私たち開発者はおかしな集団です。エンゲージメントとリテンションに関しては、あるトレーニングは他のトレーニングよりもはるかに効果的です。私のプレゼンテーションはこちらでご覧いただけます。

セキュリティトレーニング、一般的な認識、開発者とAppSecの間の積極的な文化を重視することは、攻撃者にとっては急所のようなものです。セキュリティのスーパーヒーローたちが協力して、セキュリティをソフトウェアの品質と同義語にしているのです。

少しずつですが、確実にそうなっています。

セキュリティ業界の多くの人がそうであるように、私も数人の同僚と一緒に3月にサンフランシスコで開催されたRSAカンファレンスに参加しました。この時期は非常に忙しいのですが、私にとっては大好きなイベントのひとつです。特に楽しみにしているのは、Bugcrowdの「Mayhem at the Mint」です。長いカンファレンスの後、仲間や友人たちとリラックスして楽しい時間を過ごすことができます。

しかし、今年は少し違っていました。個人的にお祝いしたいことがたくさんありました。イベントのスポンサーとして、夜には独自のカクテル（もちろん、Secure Code Sangria）を用意しましたが、私が本当にパーティーをしたくなったのは、Bugcrowd社との新しいパートナーシップでした。公式には、私たちは開発者に安全なコーディングについて教育し、力を与え、啓発するために力を合わせています。

今回の発表に関して、業界全体から寄せられた熱気、特にITSPmagazineの記事とポッドキャストのエピソードを楽しみ、感謝しています。バグクラウドのケイシー・エリスとジェイソン・ハディックスに話を聞いた編集者のショーン・マーティンは、私たちがなぜこのような活動をしているのか、その本質を見事に捉えていました：意味のある変化には群衆が必要だからです。バグクラウドは長い間このことを認識しており、世界中のソフトウェアエンジニアをセキュリティのスーパーヒーローにするために一緒に働くことは夢のようです。

20年以上にわたり、世界に大損害を与えたものを壊し、脆弱性を発見し、修正してきた結果、セキュリティをめぐる会話を変えなければならないことが、これまで以上に明らかになりました。"ハッカーは必ずしも悪者ではありません。彼らが本来持っているスキルは、ソフトウェアを強化する上で非常に貴重なものであり、私たちは左遷を開始するために協調して努力する必要があるのです。これは、いつか試してみたいと思うような斬新なコンセプトではなく、ソフトウェア開発のライフサイクルの中核を成すものでなければなりません。そのために、私たちとBugcrowdは、多くの開発者がセキュリティに対して抱いている認識を変えることに尽力しています。すなわち、セキュリティは機能や特徴を構築する上で不便な障害物であるという認識です。

これまでのセキュリティトレーニングは十分ではありませんでした。Secure Code Warrior はそのような状況を変えようとしています。安全なコーディングを学ぶことは楽しいことであり、バグクラウドのサポートにより、このメッセージは私たちが関心を持ち、奨励しようとしているコミュニティで広く普及することができるのです。

最終的には、ソフトウェアのセキュリティがソフトウェアの品質と同義であるという段階に到達する必要がありますが、そうでないと考えるにはあまりにも多くの問題があります。今回のパートナーシップにより、開発者が実際にセキュアな開発に興味を持てるようになると信じています。そのためには、セキュリティに対する意識が高く、ポジティブな文化が根付いた環境が重要であり、これほど最適な企業は他にありません

セキュリティの話題は、劇的に左にシフトしようとしています。

... 第三者が、あなたのリポジトリにアクセスする権限を持つユーザーのうちの1人の正しいユーザー名とパスワードを使って、あなたのリポジトリにアクセスしました。他のgitホスティングサービスでも同じような攻撃を受けていることから、これらの認証情報は別のサービスを通じて流出した可能性があると考えています。

Webベースのサービスを利用しているユーザーにとって、個人情報漏洩の可能性に関するメールを受け取ることは、決して良い経験ではありません。さて、そのデータが、あなたが一生懸命作ったコードリポジトリ、あるいはあなたのソフトウェアの企業秘密であることを想像してみてください。今週、少なくとも392人（現時点）の GitHub、Bitbucket、GitLabのユーザーが、このような心臓が止まるような通知を受け取りました。しかも、彼らのコードは攻撃者によってダウンロードされ、リポジトリから消去され、身代金を要求されているのです。被害に遭ったユーザーのファイルがすべてなくなると、このメッセージが書かれたテキストファイルが1つだけ残ります。

今回の事件は、ニュースになるような他の多くの企業の情報漏えいとは異なり（GitHubへの過去の攻撃も同様）、GitHubのプラットフォームのバグが原因ではありません。むしろ、アカウント情報が平文で安全に保管されており、サードパーティのリポジトリ管理サービスから流出した可能性が高いのです。開発者は、重要なパスワードを誤って保存したり、同じ認証情報を複数の重要なアカウントで再利用したりしていました。

この記事を書いている時点では、コードを復元するために身代金を支払ったユーザーは一人もおらず、また、セキュリティに関心のある賢い人々が、影響を受けたユーザーが削除されたコードを復元するための回避策をすでに見つけていることから、詐欺師はプログラミング界の優秀な人材ではないと思われます。

つまり、多くの開発者は十分なセキュリティ意識を持っておらず、貴重なデータがいつでも危険にさらされる可能性があるということです。

なぜ、私たちのパスワード管理はまだ不十分なのでしょうか？

人間にはもちろん欠点があり、自分の生活を楽にしたいと思う傾向があります。確かに、同じユーザー名とパスワードを何度も使うのは手間がかかりませんし、初めて飼った子犬の名前を覚えるのも、メールにアクセスするために「Z7b3#!q0HwXxv29!しかし、これだけ大規模なサイバー攻撃が絶え間なく行われているのだから、開発者はもう十分に理解しているはずだ。

この件に関するGitHubのアドバイスは、2ファクタ認証が行われており、安全なパスワードマネージャが使用されていれば、今回の身代金要求の攻撃は起こらなかっただろうと評価するものでした。しかし、私が何度も言っているように、教育はもっと進んでいなければならないのは明らかです。すべての開発者は、ある行動によってアカウントが攻撃を受けやすくなる理由を、基本的なレベルで理解する必要があります。

教育。魔法の薬？

今回のGitHubへの攻撃では、ファイルの設定ミスが原因で、攻撃者は悪意のあるスキマーを注入し、城の鍵を奪うことに成功したようです。

機密データの漏えい」も克服すべき重要な脆弱性であり、OWASPのトップ10では依然として3位にランクインしています。パスワードを平文で保存することは、多くの人がパスワードを平文で保存することの危険性を理解していないことの明確な証拠であり、ブルートフォース・パスワード攻撃によってシステムがいかに簡単に侵害されるかを示しています。

暗号技術（特に暗号保存）を理解することは、鉄壁のセキュリティを用いてコードベースでパスワードを管理する上で不可欠な要素です。保存されているパスワードの塩漬けとハッシュ化に成功し、その一意性を強制することで、今回の身代金請求事件のような事態を引き起こすことがはるかに難しくなります。

開発者への十分な教育を重視し、サイバー脅威のリスクを真摯に受け止めることで、セキュリティに対する私たちの考え方を変える必要があることを理解することが重要です。私たちは、セキュリティについて学ぶことが前向きでやりがいのある経験になるようにしなければなりません。そしてそれは、自分の仕事を自己評価するすべての開発者の基準を全体的に引き上げるための基本になると思います。

ここで紹介されている脆弱性を克服してみませんか？関連する課題をプレイすることができます。 Secure Code Warriorで今すぐプレイできます。

• セキュリティの設定ミス
• 安全でない暗号化ストレージ
• 機密データの暴露

原文はこちら レギュレーションアジア.

サイバー攻撃が増加し、あらゆる業種のあらゆる組織が被害を受けている中、高額で恥ずかしい、そして最終的な利益に影響を与えるデータ漏洩の脅威は非常に現実的です。問題は小さくなるどころか、腫瘍のように大きくなっています。

私はよく、どの組織がこの問題に取り組み、サイバーセキュリティとアプリケーションセキュリティのベストプラクティスを巧みに操っているのか、その例を聞かれます。その中で、私はある一つの答えにたどり着きました。それは、「金融業界が他よりも優れた方法で取り組んでいる」ということです。

規制について金融業界のサイバーセキュリティにおけるリーダーシップの原動力となるもの

金融機関がAppSecの分野で活躍する理由の一つは、サイバーセキュリティ攻撃やデータ盗難が成功した場合に生じる「壊滅的な影響」は言うに及ばず、世界的、地域的、国家的な規制当局の懸念が（少なくとも部分的には）後押ししていることです。

BCBS（Basel Committee on Banking Supervision：バーゼル銀行監督委員会）は、12月に報告書を発表しました。この報告書では、複数の国・地域で観察されている銀行、規制、監督機関のサイバーレジリエンスの実践状況を詳細に説明しています。この報告書では、サイバーセキュリティのスキルが不足していることが指摘されていますが、これに対応するために特定のサイバー認証を実施している国はごく少数にとどまっています。

"報告書では、「一部の国・地域では、IT人材と情報セキュリティ機能の責任について、特にサイバーセキュリティ人材の訓練と能力に注目したITに特化した基準を設けている」としています。しかし、ほとんどの国・地域では、銀行のサイバー人材のスキルやリソースを監視するための監督手法を導入する「初期段階」にあります。

ほとんどの場合、規制スキームは規制対象企業にリスク管理を要求していますが、このリスクをうまく軽減するための明確な道筋があることはほとんどありません。規制当局は、サイバーセキュリティ人材のスキルとリソースに対処するための特定の要件（あるいは実際にはベンチマーク）を設定していません。ほとんどの規制当局は、金融機関のサイバーセキュリティ人材を実地検査によって評価しています。実地検査では、自己assessment のアンケートが一般的で、トレーニングプロセスが特に精査されますが、ITスタッフの役割と責任を具体的に規定している規制は、ごく一部の管轄区域にしかありません。端的に言えば、エラーの余地は大きく、正しいトレーニングとその後のassessment のスキルを重視することはむしろ少ないのです。

日本と韓国では、公的機関が適切なサイバーセキュリティ人材管理に関するガイドラインを定めている。しかし、他のほとんどの国では、サイバーセキュリティ人材管理に関する規制上の要件は、監督者の期待に限られており、監督者が規制対象の組織におけるサイバーセキュリティのスキルやスタッフのトレーニングについて、assessment 。

サイバーワーカーのスキルやコンピテンシーを認証するための専用フレームワークを発行しているのは、香港、シンガポール、英国だけです。コンプライアンス」や「認証」という言葉は、優れたソフトウェア機能を構築することを使命とする、創造的で問題解決型の一般的な開発者の背筋を冷たくする傾向がありますが（彼らにとって、セキュリティはしばしば他人事、つまりセキュリティチームの問題と見なされます）、多くの規制対象企業が保有する膨大な量の機密データは、スキルを適切に検証するのではなく、「思い込み」で人の手に委ねるにはあまりにも貴重です。

幸いなことに、多くの銀行や金融機関は、必ずしも明確な規制の道筋に頼ることなく、このことを認識しています。規制は、最終的に期待される結果（すなわち、安全なソフトウェア）の概要を確かに示していますが、これを達成するには、開発者を訓練し、既存のAppSec専門家との関係を育み、責任と所有権を生む積極的なセキュリティ文化を構築することによって、サイバーセキュリティのスキル不足を回避する必要があることを認識しています。

なぜ金融業界はサイバーセキュリティの「X-factor」を持っているのか？

銀行、金融サービス、保険業界の企業には、いくつかの要素があり、それらはサイバーセキュリティの分野でリーダーシップを発揮するための強みの柱となっている。

当然のことながら、世界の金融（言うまでもなく、何百万もの非常に機密性の高いデータ記録）の門番として、彼らは一般的にコンプライアンスを重視し、規制された組織であり、最新のガイドライン、規制、要件が期待され、意味のある方法で計画されています。その結果、彼らはサイバーリスクを軽減するための進化したニーズにカモのように対応し、最も厳しいサイバーセキュリティのベストプラクティスポリシーと、潜在的な攻撃に対するエクスポージャーを軽減するためのエンドツーエンドのプロセスを誇っています。

では、金融機関は他の金融機関と何が違うのでしょうか。私の経験では、金融機関は、AppSecの専門家やペネトレーション・テスターだけでなく、大規模で世界中に散らばっている開発チームのための包括的なトレーニング・プログラムの必要性を認識し、それにリソースを割いて、他の企業よりもセキュリティ意識を高めるための基礎を築いています。

ほとんどの組織では、サイバーセキュリティは比較的新しいものであり、金融機関が安全でセキュアなソフトウェアを提供するために、真にオープンで革新的な取り組みを行っていることは、とても新鮮です。多くの金融機関では、問題を解決するだけでなく、一般的に安全なコーディングの重要性を理解するために、教室を飛び出して実践的で適切な学習体験を提供する魅力的なトレーニングによって、開発コホートのスキルアップを図ることが有益であると考えています。

結局のところ、セキュア・コーディングは、開発者とAppSecチームの間に強固で機能的な関係を構築し、企業内で強固なセキュリティ文化を維持するための重要な要素となります。また、セキュリティプログラムを成功させるためには、セキュリティの専門家でなくても、主要な利害関係者が参加し、そのメリットを実感できるようにすることも重要な要素です。

金融機関は、経営陣とのコミュニケーションがうまくいっている傾向があり、セキュリティプロセスは「決めたら終わり」ではなく、使用されているテクノロジーと同様に迅速に進化し、変化するリスクに対応しなければならないことを、トップレベルの意思決定者に理解させています。

今は時間とお金がかかるかもしれませんが、コミットされたコードの脆弱性を修正するには30倍のコストがかかるため、一からのトレーニングを含む包括的なセキュリティプログラムは、長期的にお金を節約することができます。

増え続けるリスクに追いつくためのセキュリティ基準が始まった

PCISecurity Standards Council は、金融機関が実行可能なセキュリティポリシーを導入し、あらゆる分野のガイドラインを遵守することを支援しています。PCI Security Standards Council は、金融機関が実行可能なセキュリティポリシーを導入し、すべての分野のガイドラインを守ることを支援しています。

しかし、当社の金融業界のお客様の多くは、現行の PCI Security Standards Council のガイドラインをも凌駕していると言わざるを得ません。このガイドラインでは、開発者に対するトレーニングを推奨していますが、（先に述べた規制情報の他の例と同様に）特定の種類や、トレーニングが効果的であったことを示すために満たすべき一定のベンチマークを指定していません。

SQLインジェクションやクロスサイトスクリプティング（XSS）などの多くの脆弱性が20年以上も放置されている（2019年になっても問題を起こしている）中、すべてのトレーニングが同じではなく、また効果的ではないことは明らかです。銀行やその他の金融サービス企業は、ゲーム化された実践的なセキュアトレーニングを採用することで、はるかに優れた成果を上げており、悪用されると大惨事を引き起こす可能性のある脆弱性を実際に減らしています。

例えば、米国の銀行であるCapital One社は、革新的なTech Collegeと認定制度の一環として、ゲーミフィケーションを活用したトレーニング技術を導入しています。最近行われたウェビナーで、Capital OneのCybersecurity & Cloud Computing Education部門のディレクターであるRussell Wolfe氏が語ったところによると、自主的なトレーニングプログラムとコーディング（tournaments ）は瞬く間に人気を博し、認定を受けて他の人のスキルアップを支援したいという前例のない需要と仲間からの有機的なモチベーションを獲得しました。

サイバーセキュリティの従業員が十分な訓練を受けていることを保証するために、規制当局は何ができるか？

世界中の規制当局は、既存のサイバー規制ポリシーやガイドラインにおいて、私たちのデータを保護する責任者が満たさなければならない、認められたトレーニング方法や基準を示すだけで、「もう一歩先へ進む」ことができます。現在、ほとんどの規制方針では、トレーニングの必要性が一般的に言及されていますが、規定のトレーニングを受けた者が、サイバー脅威との戦いを真に支援するために必要な内容や技術を吸収しているかどうかを確認するフォローアップはほとんどありません。

しかし、MAS（シンガポール金融管理局）が最近発表した「テクノロジー・リスク・ガイドライン」の最新版に、セキュリティ意識向上のためのトレーニングプログラムと、安全なソフトウェア開発のベストプラクティスの採用が盛り込まれたことは心強い限りです。このガイドラインが施行されると、金融機関はソフトウェア開発者に対して、ソフトウェア開発時にセキュアコーディング、ソースコードレビュー、AppSecテストの基準を適用するためのトレーニングを行うことが義務付けられ、バグや脆弱性を最小限に抑えることができるようになります。

私にとっては、実際に使われている技術を使って開発メンバーをトレーニングすることは、最も魅力的で、彼らの仕事に関連していると同時に、すべての組織が手遅れになる前に強固なセキュリティ文化を作り上げるための基礎を築くことになります。

原文はこちら DevOps.com.

サイバーセキュリティの世界では、私たちはしばしばハンターのようなものです。私たちの目は地平線にしっかりと釘付けになり、次に流行する脆弱性と、それを阻止するための適切な設計ツール、技術、戦術を探しています。しかし、このような前向きな姿勢は、私たちの全体的なセキュリティ意識を低下させ、身の回りに存在し、攻撃者が喜んで悪用するような根深い危険性に気づかなくなるという意外な効果をもたらします。

私はよく、現代のサイバーセキュリティをケブラー素材の鎧に例えます。ケブラーの一見不思議な特性は、高速度の弾丸やあらゆる種類の現代の強力な武器を防ぐことができます。着用者は無敵であるかのように感じられるかもしれません。しかし、紀元前1000年頃に作られたとされる比較的古い弓矢の武器システムは、その防御を突き破ることができます。また、岩石に次いで世界最古の武器とされる鋭いナイフは、綿のスウェットシャツを切り裂くように簡単にケブラーを切り裂くことができます。さらに、ケブラーは人体を1ミリ単位で保護することはできません。攻撃者がダメージを与えるための隙間を見つけることができれば、それはソフトウェアにおける小さな攻略可能な領域のようなものです。

サイバーセキュリティの分野では、多くの組織が、8年、10年前のシステムの欠陥に対して同様の脆弱性を持っています。これは、現代のコンピュータ用語で言えば、金の時計と年金を受け取る資格があるようなものです。しかし、このような古いシステムの欠陥を無害だと考えているのであれば、将来的にブルースクリーン・オブ・デスを経験することになるでしょう。

退役軍人の弱点

jQueryは、オープンソースのライブラリで、イベント処理、DOMツリーのトラバーサルや操作、アニメーションの生成など、あらゆる作業に役立ち、最も古くから使われているJavaScriptライブラリの一つです。イベント処理からDOMツリーのトラバースや操作、アニメーションの生成まで、あらゆることに役立つオープンソースのリソースです。これは非常に強力で、長年にわたって使用されています。このように確立されたライブラリですから、脆弱性は完全に除去されているのではないかと思われがちです。

悲しいことに、これは事実ではありません。デフォルトでは、jQueryに依存しているほとんどのアプリケーションは、認証のために内部ライブラリの指示を使用します。例えば、Apacheサーバでは、.htaccessファイルをチェックすることになる。Apacheを使用するプログラムを設計している開発者で、Apacheサーバーのアップデートに.htaccessが含まれているかどうかを確認しようと思った人はほとんどいないだろう。結局のところ、長年にわたってセキュリティの基盤となってきた重要なコンポーネントを、なぜApacheが削除するのでしょうか？

奇妙に思えるかもしれませんが、これはまさにApacheがバージョン2.3.9で行ったことです。どうやら、プログラムの実行が必要になるたびに、.htaccess設定ファイルをチェックしなければならないことが、あまりにも物事を遅くしていたようです。これを削除すると、Apache全体のパフォーマンスが向上しましたが、ほとんどの人が知らない脆弱性が生まれました。開発者が自分のアプリケーションが.htaccessファイルに到達できるかどうかをわざわざ確認しなければ、ほとんどのリクエストは精査されることなく単に受け入れられてしまいます。

最近、専門家がその欠陥を発見し、これを使用すると、安全であるはずのシステム上で、権限のないユーザーがシェルやほとんどすべての種類のコードをアップロードして実行することができると指摘しました。これにより、10月にCVE-2018-9206と名付けられた脆弱性の警告が作成されました。しかし、この脆弱性がセキュリティ研究者によって簡単に発見されたということは、このような脆弱性を探すことを唯一の目的としているプロのハッカーたちは、おそらくすでにこの脆弱性を発見しているということを意味しています。結局のところ、この事件の後、宣伝やパッチ、修正が行われたにもかかわらず、その数週間後には、毎週数百万人がダウンロードする人気のNPM libにビットコインを盗むマルウェアが放たれ、同様の大きな影響を与える攻撃が発生しました。

The Butler Did It

jQueryと同様、Jenkinsもオープンソースで提供されており、最も人気のある種類の一つである。サーバントのような名前を持つJenkinsが、オートメーションサーバとして多くの業界の開発チームに利用されているのも納得できる。Jenkinsが正常に機能している場合、それは非常に便利なツールです。しかし、新たに発見された欠陥や、最近発見された実に大規模な暗号採掘作業などから、Jenkinsが悪者のために多くの仕事をしていたことがうかがえます。

最も危険なJenkinsの脆弱性の1つは、CVE-2017-1000353に指定されているJavaデシリアライゼーションと呼ばれるものです。複雑な攻撃ですが、以前から存在していたものです。攻撃者は2つのリクエストを送信する必要があります。最初のものは、ダウンロード用の双方向チャネルを開始しますが、これは最初はサーバーによって拒否されます。しかし、2つ目のリクエストでは、攻撃者が望むあらゆるコマンドを含むペイロードを含むアップロードチャネルが追加され、payload.jarスクリプトが使用されます。2つ目のリクエストが送信されると、パッチが適用されていないJenkinsサーバでは通信が許可されます。

パッチが適用されたサーバであっても、エクスプロイトは存在します。例えば、Jenkins を Windows 環境で実行する場合、デフォルトでは NT AUTHORITY\SYSTEM アカウントを使用してユーザを認証します。これは、SYSTEMにはWindowsサーバ上での完全な権限が与えられているため、危険です。開発者は権限アカウントを変更することができますが、多くの場合変更しません。変更しない理由は、Jenkinsがずっと昔から存在しているので、どんな脆弱性もずっと前にパッチが当てられていると考えているからです。

最近では、ハッカーがこれらのJenkinsの老朽化した脆弱性を利用して、複数のサーバを危険にさらしました。その目的は、脆弱なJenkinsインスタンスを見つけるたびに、暗号化されたマイナープログラムを追加することでした。このマイナーは、常に暗号通貨を探すために貴重なコンピューティングリソースを使用していました。これまでのところ、約10,800枚のMoneroの暗号コインを発見し、その価値は約350万ドルにもなります。

古いものは新しいもの

これらの例では、多くの人が安全だと考えているプラットフォームの脆弱性が、日和見的な攻撃者によって悪用されています。防御側では、セキュリティを意識した開発が行われていないため、ハッカーたちは古い手口に新たな息吹を吹き込んでいます。そして、古い脆弱性を利用した新たな成功例があるにもかかわらず、多くの組織はこの悪循環を止めるための計画を持っていません。

古いものだからといって、それが無害であるとは限りません。また、一般的なライブラリやリソースが何年も前から存在しているからといって、それらが完全に安全であるとは限りません（例えば、現在のOWASPトップ10の第9位は、「既知の脆弱性を持つコンポーネントの使用」への対応に充てられています）。勤勉さと継続的なセキュリティトレーニングがあってこそ、地平線上に忍び寄る危険な脅威だけでなく、すでに自分の家の裏庭に潜んでいる危険な脅威からも身を守ることができるのです。

原文はこちら CSOオンライン

セミリタイアした倫理的ハッカー、セキュリティ専門家、そして総合的なコンピュータオタクとして、私はテクノロジーにとても関心があると言えるかもしれません。テクノロジーがどのように作られたのか、何をするものなのか、そしてそれが私たちの生活をどのようにしてより良く、より効率的にするのか、といったことが気になります。私は常に機器の「ボンネットの中」を見て、そこにある最高の（そして最悪の）コードの例を見ています。最近では、エアコンシステムをAndroidアプリで遠隔操作する方法を調べました（WiFiネットワーク上の誰もが、何の認証もなしにエアコンを操作できることを知ったときの驚きを想像してみてください）。

デジタル化が進み、個人情報を共有するライフスタイルがもたらす現実的な危険性と同様に、ソフトウェアのセキュリティは常に私にとって最重要課題です。結局のところ、私たちはほとんど規制されておらず、監視されておらず、至って無視されている領域にいるのです。私たちは西部開拓時代にいるのです。

社会全体として、私たちは日常的に使用しているテクノロジーの裏側を見ていません。実際、私たちの多くは、購入して使用している無数のアプリケーション、サービス、そしてますます接続されるようになったモノの中にあるソフトウェアがどれほど安全であるかを知らないのです。本質的にそれらを信頼しているわけではなく、単にそれらについて全く考えていないのです。

ソニー・プレイステーションネットワーク（PSN）、チケットマスター、ヤフー、フェイスブック、ターゲット。ソフトウェアの脆弱性が悪用され、何百万、何千万もの顧客記録が流出したのです。これらの例は、過去10年間に発生した世界的な情報漏えいのほんの一部に過ぎません。これらは、悪者が私たちの貴重な情報を盗むことを可能にする、不十分なソフトウェアセキュリティの犠牲となる結果なのです。

データ漏洩というと、多くの人は情報セキュリティの漏洩を思い浮かべるでしょう。漏洩した企業にとっては悪夢であり、個人情報に影響を受けた人にとっては不便であると理解されていますが、真面目な話、何が大問題なのでしょうか？セキュリティを無視し続けた場合、その結果はそれほど大きなものになるのでしょうか？これまでのところ、それほど大きな問題は起きていません。データ漏洩は、責任を負う企業に深刻な影響を与えますが、それは彼らの問題ですよね？ビジネスを失い、消費者の信頼を失い、最終的には彼らが問題を解決し、損害を賠償することになります。

ソフトウェアのセキュリティは、すべての組織の優先事項であるべきです。

開発チームを持つすべての企業にとって、ソフトウェアセキュリティが最重要課題ではないのは、非常に単純な理由からです。それは、まだ十分な数の人々が命を落としておらず、リスクに関する知識が十分ではないからです。

病的？そうかもしれません。しかし、これは正直な真実です。規制や構築基準、法律を変えるような注意は、実際に人的コストが発生したときに（例えば政府機関などから）行われる。

例えば、橋があります。何百年もの歴史を持つ土木技術者は、橋を建設する際には安全性を重視します。美しさや基本的な機能性だけではありません。すべての橋には厳しい安全規制が求められ、土木技術者も社会も高い安全性を期待するようになってきました。現在では、安全性が確保されていない橋は、危険で使い物にならないと考えられています。これは、ソフトウェアエンジニアリングの世界でも、まだまだ進化していかなければならないことなのです。

現代の例では、玩具業界を見てみましょう。戦後のベビーブームの影響で、1950年代に玩具の生産と販売が急増しました。興味深いことに、おもちゃに関連した事故による救急外来の受診件数もこの時期に増加したと報告されています。おもちゃの矢で目を負傷したり、小さなおもちゃ（大きなおもちゃから取り外した部品）を飲み込んだり、少女向けに販売されたおもちゃのオーブンは、一般家庭のオーブンよりも高い温度で加熱できるものでした。

当時の玩具業界は「ワイルドウエスト」と呼ばれていました。極端な状況下での禁止やリコールを除いて、規制はほとんどありませんでした。玩具メーカーは基本的に自由に好きな玩具を作ることができ、安全性に関する懸念は、すでにいくつかの事故が報告された後に指摘されるのが普通でした。1969年にリチャード・ニクソンが制定した「玩具安全法」のような法案が法制化されてからは、危険な玩具のテストとその後の禁止が、アメリカだけでなく世界中で標準的に行われるようになったのです。事故が起こることは確かですが、今日ではおもちゃの製造過程において「安全第一」の方針が採用されており、子供たちが危険にさらされる可能性ははるかに低くなっています。

現在、ソフトウェアセキュリティの分野では、「ワイルドウェスト」と呼ばれています。プライバシー（特に最近のGDPR）や顧客データの保護に関する明らかな法規制や、いくつかの国における違反報告の義務化を除けば、主流のビジネスやコミュニティでは、ソフトウェアに組み込まれているセキュリティのレベルについて、ほとんど何も言われず、何もされません。そのような法律でさえ、実際のソフトウェアが規制されていたり、強制的に満たさなければならないセキュリティ基準があるというよりも、企業の責任に関連しています。

私たちはそこに到達しますが、そのためにはまず破壊の道を歩む必要があるかもしれません。

ガートナー社は、2020年までにインターネットに接続された機器が84億台になると予測しています。これは、2016年から31％増加した数字です。これには、家電製品だけでなく、医療機器や産業用機器なども含まれます。これは、ハッカーにとっては非常に多くの機会となります。

ある人のペースメーカーを動かすソフトウェアが安全でないとします。ハッカーが侵入し、被害者の心臓を止めてしまう可能性があるのです。医師は、ハッキングによる暗殺を防ぐために、ディック・チェイニーのペースメーカーのWiFiを無効にしました）。)接続された電子レンジややかんが遠隔操作で爆破されたり、接続された電気自動車のブレーキが解除されたりする可能性もあります（私たちが家庭で使用しているさまざまなモノのインターネット機器も同様です）。まるでハリウッドのアクション映画のような話ですが、これらの先進的なコネクテッドテクノロジーのソフトウェアが侵入された場合、石油・ガス産業におけるサイバー攻撃の爆発的な影響と同様に、私たちは本当に潜在的な災害を手にすることになります。

私たちの生活がますますデジタルに依存していく中で、悪意のあるハッキングがもたらす悲惨な結果を未然に防ぐことができます。そのためには、開発者が安全なコーディングに興味を持ち、開発チームに強固なセキュリティ意識と文化を根付かせることから始めなければなりません。

あなたのソフトウェア革命はここから始まります。銀行業界は、従来の（退屈な）トレーニングを覆すような、実に革新的なアプローチで、不良コードとの戦いにおいてゲーミフィケーションを取り入れたトレーニングを率先して行っています。実際、オーストラリアの銀行上位6行は、現在、開発者にこの方法でセキュリティマインドを植え付けています。当社のお客様であるIAGグループが、次のレベルのtournament で行ったことをご覧ください。

毎年、オーストラリア・デーには、ほとんどのオーストラリア人が海老やBBQ、ラム肉を食べたり、太陽の下でビーチで過ごしたりしていました。毎年この日になると、私は個人的にも仕事の面でも、この1年を振り返ります。娘や会社が大きくなればなるほど、スタートアップの旅と「初めての」親の旅には多くの共通点があることに気づきます。私は現在、両方とも4年目に入っています。

"あなたの子供は成長しています。4歳のお子さんがより自立し、自信を持っていることにお気づきでしょうか？この年齢の子どもたちの多くは、自立心、自制心、創造性を高め始めます。おもちゃで遊ぶ時間が長くなり、新しいことに挑戦したくなり、イライラしたときには感情をうまく表現できるようになります。"

時々、質問を受けることがあるのですが、正直なところ、答えられないことが多いです。

子供の頃には些細なことに思える質問をされても、大人の私が常識的に答えるにはとても複雑なのです。"例えば、「お父さん、口と舌でどうやってしゃべるの？」とか、「どうして今、オーストラリアは昼間で、ベルギーは夜なの？彼らは自分が思っていたよりもずっと賢く、好奇心旺盛であることに気づかされます。そして、「なぜSecure Code Warrior が存在するのか」、「自分のやっていることは会社の成功にどう貢献しているのか」、「5年後に大人になったら何になりたいのか」といった実存的な問いを投げかけている私たちのスタートアップがあります。投資家や既存のスタッフとは別に、膨大な数の就職希望者から、この種の質問に対するしっかりとした答えを持つことを強く求められました。

"私たちのビジョンは、セキュリティを高度に可視化し、最初から安全なコードを書くためのスキルとツールを提供することで、開発者が組織の最初の防衛線となることを可能にすることです。"

この1年間で、スタッフは3倍以上、収益は2倍以上、21カ国に顧客を増やし、10種類以上のプログラミングフレームワークをSecure Code Warrior プラットフォームに追加するなど、このミッションを継続してきました。  

失敗することは成長の一部です。

私たちは皆、常に正しいことをしようと努力していますが、時には間違いを犯すこともあり、それを気持ちよく受け入れる必要があります。私の4歳の子供は「自由奔放な子供」ですが、これは「頑固なお利口さん」の婉曲表現だと思っています。しかし、そんな彼女でも、自分が常に正しいとは限らないことを理解しており、他人の意見に耳を傾けることは有益です。私は、ミスをするということは、実際に意思決定が行われているということであり、それは良いことだと考えています。先ほどお話しした「自立」と「自信」がはっきりと表れています。職場では、私の決定に同意しない人には、私の決定を支持してもらい、ミスをすることを許してもらっています。やらなかったことを後悔するよりも、やってしまったことを後悔するほうがいいと思うんです（Orbitalからの引用）。

限界を超え、レベルを歪める。

娘が歩けるようになった頃から、遊び場の2mの壁を登り、振り返って何の疑いもなく飛び降りるように励ましてきたのが私です。滑り台で真っ逆さまに降りたり、ちゃんと泳げるようになる前にグレートバリアリーフでシュノーケリングをさせたり。そうそう。他の親御さんや彼女のお母さんから、かなり悪い目で見られましたが;-)。でも、25歳になって自分の直感を信じるようになってからは、自分の限界を超えれば、もっと速く走れるようになると思うようになりました。彼女が大きくなったら、きっと私に感謝してくれると思います。

スタートアップ企業のCEOとして、私も同じことを感じています...チームにリスクを取らせ、境界線を押し広げ、障壁を壊し、レベルをワープさせるようコーチングしています。"この目標を達成するのは不可能だ！」「ルールやポリシーが必要だ！」などと。私の周りには、リスクを取る人とリスクを嫌う人の両方がいます。彼らの意見を考慮して...そして、自分の直感を信じて飛躍することが私の仕事だと思っています。  

これからの一年は、きっとまたジェットコースターのような日々が続くのでしょう。初めての読書とカウント、初めての全日制の学校生活......そして、おそらく答えられない質問もたくさんあるでしょう。Secure Code Warrior 、数ヶ月以内に従業員100人の壁を破り、最初のお客様が当社のプラットフォームに3年以上滞在し、中国で最初のお客様と契約する予定です。

これからたくさんの困難が待ち受けていると思いますが、私たちは素晴らしいチームであり、その準備は整っています。

ゼロから何かを作り上げることを想像してみてください。自分のスキルと経験を駆使して、世界に小さな、しかし特別な足跡を残すことができるのです。一人でもチームでも、何もないところから何かを作り上げることに心血を注ぎます。何百時間、あるいは何千時間もかけて、最高の作品を作り上げるのです。完成したときの達成感は、それだけでご褒美のように感じられるものです。

ここで、甘えん坊の人がやってきて、「そんなにいいものじゃない」と言ったとしましょう。さらに踏み込んで、「いや、君がエネルギーと時間と愛情を注いだにもかかわらず、実際には使えない、壊れている」と言うかもしれません。要するに、彼らはあなたの赤ちゃんが醜いと言っているのです。

結局のところ、誰が自分の苦労した仕事をバラバラにされたり、不十分だと非難されたりすることを望んでいるのでしょうか。悲しいことに、多くの開発者にとって、これはAppSecチームとの関係の現実である可能性があります。開発者は、機能的で豊富な機能を持ち、厳しいプロジェクトの期限内に納品されるソフトウェアを構築することを主な責務としています。セキュリティが優先されることはほとんどなく、迅速な納品やイノベーションの妨げになるとさえ考えられます。AppSecは、細心の注意を払ってコードをチェックし、ペンテストを行い、そして悪いニュースを報告するという気の遠くなるような任務を担っています。それは、すでにコミットされていることが多いコードにセキュリティの脆弱性が存在するということです。これは、リソースと時間が不足しがちな環境では、コストのかかるプロセスであり、同じ目標を持ちながらも、言語が異なるために対立しているように見える2つのチームの間に溝を作ることになります。

そろそろ、セキュリティを見直すべきだと思いませんか？会話を変えるだけで、双方にとって、特に開発チームにとって、よりポジティブなものにすることができるのです。

教室を出て、ゲームの舞台へ

多くの開発者が職業訓練を修了しても、安全なコーディングについてはあまり学ばないため、社会人になってから初めてセキュリティ教育に触れるということがよくあります。教室でのトレーニングはよく使われるソリューションの1つですが、機能の提供に貴重な時間を割くことになります（また、正直に言うと、教師やコンテンツが刺激的でない場合、誰にとっても忘れやすい時間の無駄になります）。また、ビデオcourses や紙ベースの試験、企業の一般的なセキュリティポリシーの教育などもありますが、これらはすべて、一般的な開発者の日々の仕事には役に立たないほど具体性に欠けるものです。

あまりにも多くの場合、それは「ボックスにチェックを入れて先に進む」というコンプライアンス上の課題として扱われ、逆にAppSecと開発チームの間の溝を深めることになってしまいます。結局のところ、従来のトレーニングは、私たち業界が切実に求めている、セキュリティ文化やコンプライアンスに対するポジティブな効果をもたらしているようには見えません。私たちは同じ過ちを繰り返しているのです。

CWE（Common Weakness Enumeration）というコミュニティによると、一般的なソフトウェアのセキュリティ上の弱点は700以上あると言われています。SQLインジェクションのように、20年以上前から存在しているにもかかわらず、未だに潰されていないゴキブリのようなものもあります。しかし、ペンテストや手動のコードレビューでは、これらの違反行為が継続的に確認されています。

私たちは、これまで間違った見方をしていたのかもしれません。業界としては、開発者の素晴らしいスキルを活用するために、別の角度から実行可能な教育に取り組む必要があります。開発者は創造性に富み、好奇心旺盛な問題解決者であり、挑戦することを好みます。セキュリティトレーニングをゲーム化することは、彼らの言語を話し、彼らが実際にやって練習することを可能にすることであり、その過程で彼らがセキュリティを好きになるかもしれません。

健全な競争

不正確なツールや高額なペンテスト、希少なAppSec専門家への依存は、私たちをセキュリティのブラックホールに深く沈めることになるでしょう。私たちの生活やプライバシーの多くはオンライン上に存在しており、企業がデータを保護するための仮想的な要塞に注意を払い続けることはできません。世界のデジタル化が進み、ソフトウェアへの依存度が高まっている今、私たちはオフィスにずっといるスーパーヒーロー、開発チームに頼る必要があります。

関連する言語やフレームワークを使用したゲーミフィケーション・トレーニングは、AppSecマネージャが企業内のセキュリティ文化の変革を始めるための強力なツールです。tournament IAG社の「Game of Codes」が組織内のセキュリティについて皆で話し合うきっかけになった例を見てみましょう。

Secure Code Warrior のtournament モジュールは、測定されたトレーニングへの取り組みに単なる素敵な小さなキャップを提供するだけではありません。これは、各開発者が自分のスキルを検証し、トレーニング開始後にどれだけ進歩したかを確認し、改善が必要な分野を特定するためのプラットフォームです。競争という側面は、セキュリティに積極的に取り組むためのモチベーションとなり、報酬や評価を利用して、チームやビジネス全体における強固なセキュリティ文化の成長をサポートします。

大変な作業と思われがちな仕事に、ちょっとした楽しみを与えることで、ネガティブな考え方を変え、継続的な参加を促すことができます。健全な競争環境の中で、仲間よりも多くのポイントを獲得する喜びを知らない人はいないでしょう。

チャンピオンがあなたの間を歩く

ゲーム化されたトレーニングとその後のtournaments は、積極的なセキュリティ文化の推進に大いに役立ち、AppSec と開発チームは互いの日々の仕事についてより多くの知識を得ることができます。セキュアな開発者は資産であり、一般的な脆弱性を修正し、複雑な問題は現場の希少なAppSec専門家に任せることができます。そして、より良い関係が築かれ、貴重なセキュリティ予算が、同じエラーを何度も繰り返す「グラウンドホッグ・デイ」のシナリオを修正するために費やされることはありません。

しかし、もう一つ強力な副産物があります。それは、今まで知らなかったセキュリティ・チャンピオンを発見できることです。Tournaments は、セキュリティに対する適性があるだけでなく、積極的に情熱を示している人を発見することができます。これらのチャンピオンは、勢いを維持し、チーム間の連絡窓口となり、同僚を監督し、ベストプラクティス・ポリシーを支持するために不可欠です。表彰や経営陣のサポートを含む強固なチャンピオンプログラムを導入することは、組織にとって大きな意味を持つだけでなく、個人の履歴書や将来のキャリアにとっても強力な材料となります。

肝心なことは？私たちは、セキュリティ・テストにおいて、より良い結果を求めなければなりません。よくあるエラーを減らし、最前線にいる人たちをもっとサポートする。tournament の開発者が、どのようにしてあなたが思っているよりも早くそこに到達できるかを見てみませんか？

2018年は、サイバーセキュリティの専門家にとって、大変な一年でした。セキュリティにもっと真剣に取り組めという警告や、セキュリティ業界の人材育成をめぐる報道、組織のサイバー意識を高めるための一般的な試みにもかかわらず、私たちは何百ものサイバー攻撃によって残された煙のようなクレーターを見つめることになり、大規模なデータ漏洩や、非常によく知られた有名企業に対する消費者の不信感を表しています。2018年上半期だけでも、945件の事件で45億件のデータ記録が漏洩しました。

これまでに何度も言ってきたように、私たちはもっとうまくやれるはずです。しかし、私たちが直面している真の戦いは、スクリプトキディや危険な組織化されたサイバー犯罪シンジケート、あるいはパーカーを着た謎の人物がラップトップでタイプしていることに対するものではありません。

GDPRへの対応は良いスタートとなりますが、短期的には大きな効果は期待できません。

欧州連合（EU）の一般データ保護規則（GDPR）が本格的に施行され、データ保護に真剣に取り組んでいない企業にとっては脅威となっています。GDPRに違反した企業には巨額の罰金が科せられます。これは、企業がセキュリティ対策を強化し、顧客データをより大切に扱い、サイバー攻撃を軽減するための戦略を打ち立てるための後押しとなるものです。

一部の企業では莫大な罰金が科せられると警告されていますが、GDPRを遵守しなかったことによる真の影響はまだ見られません。倒産するような罰則はありませんが、私たちウェブユーザーにとっては、クリックしなければならないポップアップが大量に表示されるだけです。これは、法的手続きには多くの時間がかかり、控訴する機会も多いことが理由のひとつです。例示された可能性のある企業は、数ヶ月から数年にわたる訴訟を行っていることでしょう。この悪夢のような1年を締めくくるかのように、フェイスブックは先日、APIのバグにより680万人のユーザーのプライベート写真が1500の未承認アプリケーションに流出したという新たなデータ流出を報告しました。このバグは2週間以内に発見され、パッチが適用されましたが、データ保護機関や一般市民がこの違反行為を知ったのは数ヶ月後でした。GDPRでは72時間以内の通知が義務づけられていますが、この法律の影響力と効果が現在どの程度あるのか、多くの疑問が残ります。

もちろん、他の場所での侵害も止まりません。11月に発生したマリオットの情報漏えい事件では、5億件ものデータが流出したことが明らかになりましたが、さらに問題なのは、発見されるまでの4年間、攻撃者がシステムにアクセスしていたことです。マリオットは、被害者に信用監視ツールである「WebWatcher」の12ヶ月間の無料利用権を提供するなど、ダメージコントロールに努めているようですが、ハッカーにとって5億件の記録は、ほとんどの人にとって意味のある監視をするのに1年で十分なのかどうかは未知数です。

長期的には、GDPRのような規制は、それが施行されれば前向きな変化をもたらします 。企業が多額の金銭的ペナルティを受けたり（実際、データが漏洩した顧客から集団訴訟を起こされたり）、十分な規模で利益が悪化したりすると、ほとんどの企業がオンラインデータベースの強化に熱心に取り組むようになると思います。

金融機関はこれからも、短期的にポジティブな変化をリードしていくでしょう。

世界で稼いだ現金の門番である金融機関が、最も厳しいサイバーセキュリティのベスト・プラクティス・ポリシーと、リスクを軽減するためのエンド・ツー・エンドのプロセスを持っていることは、さほど驚くことではないかもしれません。

PCISecurity Standards Council は、金融機関が実行可能なセキュリティポリシーを導入し、すべての分野でガイドラインを遵守することを支援することに尽力しており、このコンプライアンスの重要な推進力となっています。PCI Security Standards Council は、金融機関が実行可能なセキュリティポリシーを導入し、すべての分野のガイドラインを守ることを支援しています。

では、金融機関は他の金融機関と何が違うのでしょうか。私の経験では、金融機関は一般的にセキュリティ意識が高く、AppSecの専門家やペンテスターだけでなく、大規模で世界中に散らばる開発チームのための包括的なトレーニングプログラムにリソースを割いています。また、トップレベルの意思決定者に、セキュリティプロセスは「決めたら終わり」ではなく、使用されているテクノロジーと同様に急速に進化し、変化するリスクに対応しなければならないことを理解させています。

より多くの組織が、セキュリティ・パイプラインを変革する。

ITの他の部門に比べて、AppSecは比較的若い部門です。誤解されやすく、必要な人間関係もまだ築けていないかもしれません。しかし、年を追うごとに、変化に抵抗する最も古い組織でさえ、AppSecの居場所を見つけることが容易になってきていると思います。

企業は、セキュリティ・コンプライアンスをソフトウェア・プロセスの最後の最後の段階で行うことはできないことが明らかになってきました。データを集約し、ビジネスのエグゼクティブレベルに可視性を提供することに集中し、ポイントツーポイントでチェックと対策を行う必要があります。これができなければ、セキュリティは目に見えず、心にも残らないものとなってしまいます。このような状況では、リスク対策に必要なリソースを集めることは事実上不可能です。

良いニュースとしては、これまで以上に多くの組織が自社のサイバー攻撃を発見し、その対策に取り組んでいることです。しかし、悪いニュースもあります。このプロセスには、平均85日かかっています。

ペンテストツールや手作業によるコードレビューは、技術分野では迅速な革新と機能の提供が必須であるにもかかわらず、手間と費用がかかり、時間もかかります。セキュリティに対する意識は、開発者が最初にコードを書いた瞬間から持ち合わせていなければなりません。

私たちの業界は、主な問題を認識するでしょう：私たちは人々がもっと気にする必要があります。

私のネットワークの中で、過去4年間にマリオットホテルに宿泊したことのある人は、控えめに見積もっても20人はいます。その間に5億件もの記録が盗まれたのですから、彼らのデータもその一部である可能性が高いのです。現在の連絡先、まだ有効なクレジットカード番号、パスポート情報など、あらゆる情報がダークウェブで販売されている可能性があります。しかし、彼らのケアファクターは基本的にゼロです。

また、このような大規模なデータ窃盗事件では、自分が干し草の中の針のようなものであるため、満足してしまうこともあります。

しかし、本当に問題なのは顧客のデータの安全を確保できなかった企業は、ほとんど影響を受けません。事件の直後に株価が下がるか？それは間違いありません。Target社、Equifax社、そして今回のMarriott社がそれを証明しています。しかし、1年後の状況を見ると、通常の状態に戻るのは非常に早いことがわかります。数年後には、経済的にはすべてが解決しています。

莫大な罰金、規制の強化、ビジネスの大幅な損失といった深刻な影響が出るまでは、AppSecは、企業がさらされているサイバーリスクの増大の深刻さを伝えるために常に戦わなければならない業界である。

だからこそ、組織の技術チームの最前線で、セキュリティを意識した開発者や強固なセキュリティ文化を構築することが何よりも重要なのです。このことを常に念頭に置き、より高い水準のソフトウェアセキュリティを目指していきましょう。