セキュアバイデザインは、誰もが口にする最新の取り組みであり、オーストラリア政府は、グローバルガバナンスの最高レベルであるCISAと協力して、ベンダーがより高い水準のソフトウェア品質とセキュリティを確保するよう指導している。

ソフトウェアセキュリティの大幅な向上には、セキュリティスキルの構築に対する支援のうねりが必要であり、開発者に関しては、セキュアコーディングのベストプラクティスに関する継続的な学習が重視される。世界各国政府が模範を示し、陰湿なコードレベルの脆弱性を緩和するための適切なガイダンスを提供するという、この業界の新たな章を目撃することは新鮮である。

Australian Women in Security Network(AWSN)は、オーストラリアでサイバーセキュリティの役割を担う女性を増やすため、精力的に活動してきた。私たちは最近、コモンウェルス銀行（CBA）と共に、セキュリティに精通した開発者や専門家を対象としたセキュア・コーディング（tournament ）を開催し、友好的で競争的な環境の中で自分たちのスキルを披露した。

この7月17日のイベントには、様々な業界を代表する素晴らしい女性たちが多数参加し、彼女たちの貢献が、2030年までにオーストラリアを世界で最もサイバーセーフな国のひとつにするための一助となることは間違いない。

より安全な未来への支持

幸運なことに、オーストラリアのサイバーセキュリティ・コーディネータである Michelle McGuiness 中将が、AWSN/CBA/SCWtournament の合同イベントをサポートしてくれた。オーストラリアの「6つのサイバーシールド」イニシアティブに直接言及し、セキュア・バイ・デザインの原則を支持する彼女の言葉は、前向きな変化とソフトウェアの設計と実行のより高い水準にコミットする熱心なサイバー専門家の会場に響きました：

‍

‍

「私たちは、（サイバーセキュリティの）課題への取り組みに国全体を参加させたいと考えており、そのためには、強力で多様性のある、そしてもちろん包括的で歓迎されるサイバー労働力を構築することが含まれます。

私たちの戦略は、私たちのビジネス、組織、そして市民を守るための6つのサイバーシールドを中心に構築されています。おそらく今日のイベントに最も適切なのは、セキュア・バイ・デザインとセキュア・バイ・デフォルトに焦点を当てた戦略の下での我々の活動であろう。私たちは、デジタル機器やソフトウェアを購入する際、不必要なリスクにさらされることはないという確信を持つべきです。

そしてもちろん、産業界は、企業の利益、経済の利益......そして国家の安全保障のために、こうした道筋を育成し、成長させ、支援する上で大きな役割を担っている。Secure Code Warrior 、CBA、そして今日のイベントの開催にリーダーシップを発揮したAWSNを称賛する。"

女の子のようなコードを書くとどうなるか？

今回のような大規模なイベント（tournament ）が開催されるたびに、いつも信じられないことが目につく。通常、このようなイベントには何万人もの開発者が参加するが、業界全体がそうであるように、参加者のうち女性が占める割合はかなり低い。

しかし、女性の参加者が表彰台に上がり、賞金を分け合うことはよくあることです。このことは、伝統的に男性が支配的な空間に女性が溶け込んでいることを物語っていると思う。彼女たちは所属しているだけでなく、優秀な成績を収め、チーム内で憧れの存在となることができるのだ。

このイベントでの競争は熾烈を極め、総合優勝者のベラ・ハワードと シャネル・ヘアは、開発者主導のセキュリティ実践の最前線で輝かしい未来を築いていることは明らかです。彼らは優勝についてこう語っている：

「私たちはこの勝利に感激している！私たちの多様なスキルと経験が、互いを完璧に補い合ったと信じています。

また、全員が素晴らしいパフォーマンスを見せたことも評価したい。優勝できたことを本当に光栄に思うし、このイベントを心から楽しんだ。次回の大会でお会いできることを楽しみにしています。"

彼らをもう少しよく知ろう：

‍

• セキュアコーディングのスキルはいつから磨いているのですか？

私たちは2人ともITの学位を取得し、そこでセキュアコーディングのスキルを身につけた。ベラはサイバーセキュリティに強い関心を持つようになり、2人ともセキュリティ分野の知識を広げるためにイベントやワークショップに参加した。

入社以来、Secure Code Warrior を利用する機会があり、私たちの開発に役立っています。ベラはセキュアコーディングの実践に重点を置くことで、セキュリティアナリストとしての知識を高め、シャネルはソフトウェアエンジニアとしてセキュアな考え方を要求されるため、セキュアコーディングは彼女の責務の重要な一部となっています。

• これからコーディングのキャリアをスタートさせるSTEM分野の女性たちに、何かヒントはありますか？

セキュリティ・コミュニティに参加し、すでにその分野で活躍している人たちから学ぶことを強くお勧めします。また、女性主導のコミュニティに参加することは、同じ境遇にあり、貴重な指導や励ましを与えてくれる女性からサポートを得る素晴らしい方法です。

Secure CodingTournament などのイベントや業界関連のワークショップに参加して、楽しみながら学び、人脈を広げる。あなたのキャリアを指導し、貴重な見識を与えてくれるメンターを探しましょう。すべてを知った気になってから始めるのではなく、実際に経験することが、学ぶための最良の方法です。

• サイバーセキュリティのベストプラクティスの重要性を広めるために、あなたなら何をしますか？

セキュリティはすべての人の責任であることを強調することは極めて重要である。効果的なセキュリティを実現するためには、テクノロジーの利用者だけでなく、テクノロジー・スタック全体で働くすべての人が、セキュリティのベスト・プラクティスを認識し、遵守する必要があります。セキュリティが集団の責任であるという文化を醸成することで、システムとデータをよりよく保護することができます。

‍

すべての参加者に感謝するとともに、今後のプロジェクトでAWSNとパートナーシップを組むことを楽しみにしている。

‍

組織は、セキュア・バイ・デザインの原則は、開発者主導のセキュリティによってのみ成功裏に実装されることを理解している。結局のところ、開発者は、組織のソフトウエアの原動力となるコードを設計し、構築し、最終的にコミットする人たちである。このような貴重な貢献者に、セキュアコードのベストプラクティスを実装するための知識とスキルを保証することは、絶対に不可欠である。 しかし、これを実施するための課題は、開発者がソフトウェアを構築する際に使用するプログラミング言語と、セキュアコードの知識とスキルを整合させることに行き着くことが多い。

この課題は、組織のコードベースで使用されているプログラミング言語が膨大な量と混在しているため、さらに複雑になっている。では、CISO、AppSec、エンジニアリングのリーダーは、作成され、コミットされるコードが、そのコミットの特定のプログラミング言語における開発者のセキュアなコードの知識とスキルに裏打ちされたものであることを、どのように確認すればよいのだろうか。
‍

SCW信託代理店のご紹介

Secure Code Warrior は、この難問に答えるために SCW Trust Agent を発表した。SCW Trust Agent は、開発者主導のセキュリティを拡張するために必要な可視性と制御をセキュリティリーダーに提供し、開発者とチームがコミットされた内容のセキュリティを維持・改善しながら、より迅速にコードを提供できるようにします。
‍。

SCW信託銀行の仕組み

SCW Trust Agent はコードリポジトリに接続し、すべてのコードコミットのメタデータを評価します。コミットを行った開発者、使用されているプログラミング言語、コードが出荷された正確なタイムスタンプを検査します。そして、この分析と SCW のアジャイルlearning platform からのデータと洞察を組み合わせて、開発者が特定のプログラミング言語で十分なセキュリティ知識を持っているかどうかを判断します。この情報に基づいて、ポリシーの構成に従って、そのコミットの健全性の評価を返します。これらのポリシーは、管理者ユーザがカスタマイズして設定できる。管理者ユーザは、プロジェクトやリポジトリの全体的な感度に基づいて、要件の閾値を高くしたり低くしたりできるコミットに対して、特定のガイドラインと要件を設定できる。
‍

セキュリティ態勢の強化

このような可視性とカスタマイズ可能な制御を持つことで、組織はすべてのリポジトリ全体のコミットの健全性を洞察できるだけでなく、セキュリティ体制を強化するために必要なツールを提供し、プロアクティブなアプローチをとることでリスクを軽減することができます。SCW Trust Agent は、開発者がコミットを行う際に、使用している特定のコーディング言語のセキュリ ティ上の意味を熟知し、熟練していることを確認する。この保証により、悪用される可能性のある脆弱性をコードに不注意に導入する可能性が低くなります。
‍

開発ライフサイクルの最適化

このプロアクティブなアプローチは、組織の全体的なセキュリティ態勢を向上させるだけでなく、開発ライフサイクルにおける新たな最適化を推進することもできる。開発者がコミットする言語でセキュアなコードの知識とスキルを確実に身につけることで、後に特定と修正が必要となる脆弱性の混入件数を減らすことができる。修正と再作業は、開発者にとって多くの時間を浪費する傾向があり、しばしばワークフローを中断し、その速度に影響を与える。 プロアクティブなアプローチによって脆弱性を減らすことで、このような修正サイクルを最小限に抑え、開発チームは価値の高いコードと機能の提供に集中することができる。
‍

開発者主導のセキュリティの拡張

SCW Trust Agentは、開発者主導のセキュリティプログラムを拡張するために必要なツールを提供します。CISOとAppsecチームは、ポリシーの設計、適用、遵守に関する詳細な洞察により、適切なガバナンスを適用し、コンプライアンス基準を満たし、さらにそれを超えるために必要な可視性と制御を得ることができます。また、開発者は、提供するコードで使用する言語に特化したセキュアコードトレーニングにより、セキュアコードを迅速に提供できるようになります。

SCW Trust Agent は、Git ベースのソースコード管理ツールと連携し、オンプレミス、クラウドベース、手動アップロードなど、複数の接続オプションで簡単にコードリポジトリに接続できます。詳細については、www.scwtrustagent.com をご覧いただくか、弊社までお問い合わせください。お客様の組織のセキュリティ体制を強化し、開発者主導のセキュリティをスケーリングするために、弊社がどのようにお役に立てるか、ぜひご相談ください。

‍

私たちは、SCWプラットフォームの最新の機能強化であるSCW Trust Scoreについての会話を続けられることに興奮しています。この画期的な機能は5月に正式に開始され、開発者と組織が安全なコードを書くために必要なツールを提供するという私たちの使命において、極めて重要な前進を意味します。

SCW Trust Score は、その核心において、組織のセキュリティ態勢とセキュアコーディングプラクティスの有効性に関する貴重な洞察を提供します。SCW Trust Score の主な利点とメリットを説明しましょう。

• 可視性： 学習・教育プログラムを通じて、チーム全体に多様なスキルとコンピテンシーが生まれる。同じセキュアコードプログラムを受けても、チームにはトップパフォーマー、平均的な成績の者、追加サポートが必要な者など、さまざまな専門知識が含まれることが多い。SCW Trust Score は、Secure Code Warrior を使用する個々の開発者のセキュリティ姿勢を集計することで、セキュリティ学習プログラムの有効性をデータに基づいて測定します。
  
  
• ベンチマーク指標：組織には、開発者のセキュリティ状況のベルカーブを定義し、セキュリティ対応能力が高く、パフォーマンスと生産性の高いソフトウェアチームを真に構築するために最適化すべき領域を特定するためのベンチマークが必要である。 SCW Trust Score を使用することで、企業は、業界のベンチマークやベストプラクティスに照らして自社のセキュリティ態勢を評価できるようになる。この包括的な評価指標を活用することで、関係者は、強みのある領域と改善の機会を比類のない精度で特定することができます。
  
  
• データパワー：SCW Trust Scoreは、600社以上、25万人以上の開発者から得た2,000万件の学習データの力を活用しています。当社のプラットフォーム上で完了したすべての学習活動を分析することにより、当社のアルゴリズムは包括的なスコアを生成します。このスコアは、学習活動の幅と深さ、活動の理解度、学習の頻度、職務内容、入社後のライフサイクル、トレーニングを受けた開発者の総数などの要素を考慮します。
  
  

先日のRSACでは、顧客、パートナー、業界のリーダーたちから大きな関心を寄せられ、顧客や見込み客との対話を続けられたことを誇りに思います。

SCWの最高技術責任者（CTO）兼共同創設者であるマティアス・マドゥが、SCWトラスト・スコアの包括的な概要と、実際のシナリオにおけるその実用的なアプリケーションについて説明するウェビナーを6月12日に開催いたします。皆様のご参加をお待ちしております。

最後に、SCW Trust Score の開発と改良に貢献してくれた顧客とパートナー・コミュニティの各メンバーに感謝の意を表します。私たちは共に、組織全体の優れたセキュリティ態勢とはどのようなものかを理解する旅に出発します。

開発者は、常にスキルを磨き、時代の最先端を走り続けるという課題に直面しています。技術が急速に進歩し、新しいツールやフレームワークが定期的に登場する中、継続的な学習の必要性はかつてないほど高まっています。このデジタル時代では、情報が指先で簡単に入手できるため、開発者はオンデマンドの学習コンテンツの力を活用することで、キャリアを前進させ、競争の激しいソフトウェア開発の分野で適切な存在であり続けることができます。

オンデマンドの学習コンテンツは、開発者にいくつかの重要なメリットをもたらします。オンデマンドリソースは、比類のない柔軟性と利便性を提供するため、開発者は自分のペースで学習し、多忙なスケジュールや個人の好みに合わせて教育を受けることができる。さらに、アジャイルプラットフォームには、個人の目標やスキルレベルに合わせた学習パスが用意されていることが多く、学習効率を最大化し、開発者がキャリアアップに必要なスキルを確実に習得できる。最終的に、オンデマンド学習は、継続的なスキル開発の文化を育み、開発者が技術革新に直面しても機敏で弾力的であり続ける力を与え、ソフトウェア開発分野での長期的な成功を保証する。

‍

Secure Code Warrior では、最も包括的で充実したコンテンツを開発者に提供することをお約束します。私たちの目標は、優れた学習・開発リソースを提供するだけでなく、開発者の現在のニーズに関連する情報を適切なタイミングで提供することです。このコミットメントは、リソースが散在しているという課題に対処するために設計されたSCWプラットフォーム内のコンテンツライブラリであるExploreタブに具現化されています。Exploreは、すべてのトレーニング・コンテンツを1つの集中した場所に統合し、利用可能なコンテンツ・タイプの包括的なビューをユーザーに簡単に提供します。新しいプログラミング言語の習得を目指す学習者にも、複雑なコンセプトの探求を目指す学習者にも、Exploreが対応します。綿密にキュレーションされたコンテンツカタログは、幅広い興味とスキルレベルに対応し、誰もが楽しめる内容となっています。Exploreでは、インタラクティブなチュートリアル、実践的な練習問題、実世界のシナリオなど、学習体験を向上させ、開発者が優れた能力を発揮できるように設計されたコンテンツが豊富に用意されています。

‍

‍

今日の技術エコシステムは、絶え間ない革新と破壊を特徴としているため、アジャイル学習プラットフォームの必要性がますます重要になってきている。従来の学習やスキル開発の方法では、テクノロジーの急速な進歩や業界のダイナミックな要求に対応することはもはや十分ではありません。その結果、組織はアジャイル学習プラットフォームに注目し、開発者主導のセキュリティが不可欠なこのペースの速い環境に適応し、成功するために必要なツールとリソースを開発者に提供している。

アジャイル・ラーニング・プラットフォームが不可欠である主な理由の一つは、タイムリーで適切なラーニング・コンテンツを提供する能力である。アジャイル・ラーニング・プラットフォームは、マイクロラーニング・モジュールやジャスト・イン・タイム・リソースなどの動的コンテンツ配信メカニズムを活用し、開発者が必要とする知識を、必要なときに正確に提供する。もう1つは、柔軟性とカスタマイズ性を提供する能力で、開発者が個々のニーズや好みに合わせて学習体験をカスタマイズできるようにする。インタラクティブなチュートリアル、実習、ビデオコンテンツなど、開発者は自分の学習スタイルやスケジュールに最も適した形式を選ぶことができます。

全体として、アジャイル・ラーニング・プラットフォームは、今日の速いペースで変化し続ける技術環境の中で開発者が活躍できるようにする上で、重要な役割を果たしている。タイムリーで、適切な、パーソナライズされた学習体験を提供することで、これらのプラットフォームは、開発者が新しいスキルを習得し、業界のトレンドを先取りし、組織内のイノベーションを推進することを可能にします。Secure Code Warrior では、開発者のことを第一に考え、継続的にプラットフォームを強化しています。セキュアなソフトウェアを構築する上で開発者が果たす極めて重要な役割を理解し、当社の機能強化は、現在の課題に対処するだけでなく、開発者が自信を持って回復力のあるコードを構築できるようにするものです。ここでは、この献身を強化するために最近実装した、開発者向けのプラットフォームの機能強化の一部をご紹介します。

私たちは、Microsoft Teamsのような最新のコミュニケーションチャネルを通じて、開発者の皆様をより効果的に引き込むことができると信じています。Microsoft Teamsとの統合は、SCWプラットフォーム内での次世代ユーザーコミュニケーションへの第一歩です。新しい学習アクティビティに招待したり、コースの学習アクティビティに関するカスタムリマインダーを送信したりできます。また、Teamsをナッジの配信チャネルとして使用し、Teamsの通知を介してコース参加者にコースを完了するよう促すこともできます。

‍

開発者主導の製品革新に加え、Exploreタブが加わりました。Exploreは、ユーザーが自分のスキルを高めたい場合でも、新しい分野に飛び込みたい場合でも、自分のペースでトレーニングや知識を広げるための包括的なハブを提供することで、シームレスで充実した開発者体験を保証します。64の言語で7,000以上のアクティビティが用意されているExploreは、ユーザーが自分の好みに合わせた学習アクティビティを簡単に発見、再生、再生できるようにします。Exploreの詳細とオンデマンドコンテンツの重要性については、こちらをクリックしてください。

‍

最後に、レポートは、開発者トレーニングを効果的かつ魅力的なものに維持するために極めて重要である。レポートは、進捗を追跡してセキュリティ標準への準拠を確認するだけでなく、開発者が改善できるギャップを特定する。このような洞察により、セキュリティ防御を強化し、適切で的を絞った学習を継続するためのオーダーメイドトレーニングが可能になる。また、レポートによってトレーニングの効果が実証されるため、トレーニングへの投資が正当化され、セキュリティ対策への継続的な支援が保証される。全体として、レポートは、コンプライアンスと開発者のエンゲージメントの両方を強化するために不可欠なツールであり、すべての人が学習課程を軌道に乗せ、学習に専念できるようにする。SCW レポートに関するエキサイティングなニュースが間もなく発表される予定です！

‍

最近リリースされた機能についてさらに詳しくお知りになりたい方は、最新の製品トーク・ウェビナーをご覧いただくか、今すぐ弊社までお問い合わせください！

‍

金融機関には、使用するソフトウェア・コードの安全性を確保しなければならない強い理由がある。もちろん、漏洩した個人情報、後始末の費用、罰金や賠償金、組織の評判へのダメージなど、莫大な費用がかかる可能性のある情報漏洩からデータを保護する必要性は、明白な動機である。もう一つの継続的な理由は、業界や政府の様々な規制を遵守する必要性である。

金融サービス業は、多くの機密情報、個人情報、金融情報、そして人々の金銭を扱うため、規制の厳しい業界である。提供するサービスによって、企業はさまざまな規則や要件を遵守しなければならない。

例えば、PCI DSS（Payment Card Industry Data Security Standard）は、カード会員データの保護に関する規定としてよく知られている。サーベンス・オクスリー法（Sarbanes-Oxely Act）の要件は、財務記録管理を規定している。国際的に事業を展開する企業は、拘束力のあるリスク管理フレームワークであるデジタル・オペレーショナル・レジリエンス法（DORA）や、スイフトとして知られる国際銀行間金融通信協会が定めた資金移動の世界標準に精通している。

また、カリフォルニア州消費者プライバシー法（CCPA）やEUの一般データ保護規則（GDPR）などの法律は、顧客のプライバシーと個人情報を保護するための要件を定めている。その他にも、米国通貨監督庁（OCC）や欧州中央銀行（ECB）が定める規制などがある。

これだけでは不十分な場合、国家サイバーセキュリティ戦略では、ソフトウェア・メーカーは非効率なソフトウェア・セキュリティに責任を負うべきであると述べている。また、サイバーセキュリティ・インフラ・セキュリティ庁（CISA）は、米国内外の17のパートナーとともに、ソフトウェア開発のためのセキュア・バイ・デザインの原則に関するガイダンスを発表している。 

金融サービス企業に共通するのは、セキュアなコードは、規制の目標を達成するために不可欠な要素であり、規制への準拠を容易に示すのに役立つということである。そして、開発者が開発プロセスの初期段階でコードにセキュリティが適用されていることを確実にするためのトレーニングとスキルアップを必要としている理由が明確になった。

その仕組みの一例として、PCI DSSの最新版を見てみよう。

セキュアコーディング（および開発者のトレーニング）は PCI DSS 4.0 の中核です。

PCI DSS 4.0は2024年4月1日付で義務化され、PCI DSS 3.2.1に対していくつかの大幅な更新が含まれています。

PCIは以前から安全なソフトウェアの重要性を認識していた。2017年にリリースされたバージョン2.0では、モバイル機器での安全な取引を確保するための開発者向けガイダンスが含まれていた。バージョン4.0のガイダンスでは、セキュリティのベストプラクティスをソフトウェア開発に適用することが強調され、開発者のトレーニングに関するいくつかの具体的なガイダンスが含まれるようになった。 

要件は多くの場合、大まかに示されているが、企業はより徹底したアプローチを実施したいと考えるかもしれない。

たとえば、バージョン4.0の要求事項のひとつに、「安全なシステムおよびソフトウェアを開発し、維持するためのプロセスと仕組みが定義され、理解されている」とある。このことを確実にする良い方法は、開発者が知識のギャップを埋めるために、使用しているプログラミング言語やフレームワークの正確なトレーニングを受けることである。

もうひとつの要件は、オーダーメイドやカスタム・ソフトウェアに携わる開発者は、少なくとも12カ月に1回、以下の内容のトレーニングを受けなければならないというものだ：

• 職務と開発言語に関連したソフトウェアセキュリティ
• 安全なソフトウェアの設計とコーディング技術 
• ソフトウェアの脆弱性を検出するためにセキュリティテストツールを使用している場合、そのツールの使用方法。

しかし、現実には、中核的なセキュリティ問題に対処し、悪いコーディング習慣を断ち切るには、年に 1 回の頻度では十分ではない。トレーニングは継続的かつ測定的であるべきであり、それが有効に活用されていることを確認するためのスキル検証プロセスが必要である。

PCI DSS 4.0 には、さまざまなタイプの攻撃の防止と軽減、サードパーティ製ソフトウェアコンポーネントの文書化、脆弱性の特定と管理、その他のセキュリティ対策などの分野を扱う 6 つ以上の要件が含まれています。いずれの場合も、組織はこれらの対策を徹底的に追求することが賢明である。攻撃ベクトルに関するトレーニングは、毎年ではなく、頻繁に行うべきである。脆弱性の原因となることが多いサードパーティ・コンポーネントは、ソフトウェア部品表（SBOM）プログラムを通じて慎重にインベントリ化すべきである。そして組織は、脆弱性を管理するための役割を明確に定義しておくべきである。

新バージョンはまた、認証管理、パスワードの長さ、共有アカウント、その他の要素に関する新たな要件を追加する一方で、チェックボックスにチェックを入れるのではなく、成果に焦点を当て、組織がその要件を満たすことにある程度の柔軟性を与えている。 

コンプライアンスは SDLC の最初から始まる

これらの規制の共通点は、金融サービス業界のデータとトランザクションを保護するための高い基準を設定しようとしていることです。また、PCI DSS の最新版の場合と同様に、ソフトウェア開発ライフサイクル（SDLC）の初期段階におけるセキュアコードの重要性がますます強調されています。また、国家サイバーセキュリティ戦略とCISAのSecure by Designの原則は、出荷前のソフトウェアの製造者にセキュリティの責任を課しているため、金融サービス規制が直接適用されない企業であっても準拠する必要があります。

組織は、開発者をトレーニングすることによって、開発スピードを重視するDevOpsチームと、セキュリティをプロセスに組み込むことを急ぐAppSecチームの間に存在するギャップを埋める必要がある。しかし、これには複雑な一連のスキルが必要であり、毎年のトレーニングセッションや標準的で停滞した教育プログラムでは対応できない。トレーニングは継続的かつ機動的であるべきであり、学習者が能動的かつ実世界のシナリオに関与できるように構築され、学習者の仕事のスケジュールに合わせて小分けにして提供されるべきである。

金融サービス企業は、情報漏えいから身を守り、ますます厳しくなる規制に準拠し続けるために、セキュリティを確保する必要がある。コンプライアンス違反のコストは、企業の評判や金銭的コストに与える影響という点で、情報漏えいと同程度の損害をもたらす可能性がある。例えば、IBM の「Cost of a Data Breach Report 2023」によると、コンプライアンス違反の度合いが高い組織では、罰金やその他のコストが平均で合計 505 万ドルに上り、実際のデータ漏えいの平均コストよりも 50 万ドル高いことが判明しています。

クラウドベースの環境とデジタルトランザクションの継続的な成長により、金融サービス業界におけるソフトウェアのセキュリティは最も重要なものとなっており、PCI DSS のような規制もそれを認めています。安全なソフトウェアを保証する最善の方法は、SDLC の開始時に安全なコーディングを行うことです。そして、その方法は、セキュアコーディングの実践において開発者を効果的にトレーニングすることです。 

セキュアコーディングが金融サービス企業の成功、セキュリティ、利益の確保にどのように役立つかの包括的な概要については、新たにリリースされた電子書籍（Secure Code Warrior ）をお読みください：金融サービスにおけるセキュリティトレンドの究極のガイド。

ブログ Secure Code Warriorサイバーセキュリティ、ますます危険になる脅威の状況、そして組織と顧客をよりよく守るために革新的なテクノロジーとトレーニングを採用する方法についての詳しい洞察については、ブログページをご覧ください。

‍

サイバーセキュリティ業界は、陰湿なソフトウェア・サプライチェーンの侵害が発見されたことを受け、再び厳戒態勢に入った。この脆弱性は、主要なLinuxディストリビューションに同梱されているXZ Utilsデータ圧縮ライブラリに影響を及ぼすもので、CVE-2024-3094の下で記録されており、かつては信頼されていたボランティアのシステムメンテナによって意図的に挿入されたバックドアに帰結する。

ありがたいことに、悪意のあるコードがLinuxの安定したリリースに入る前に、別のメンテナがこの脅威を発見しましたが、Fedora Rawhideの一部としてXZ Utilsのバージョン5.6.0.および5.6.1.を実行し始めた人にはまだ問題が残っており、組織は緊急レベルの優先事項としてパッチを当てるよう促されています。この発見が間に合わなかった場合、そのリスクプロファイルは、おそらく SolarWinds を凌ぐ、記録上最も壊滅的なサプライチェーン攻撃の一つとなるでしょう。

重要なシステムを維持するためのコミュニティボランティアへの依存は、広く文書化されていますが、この事件のような影響力の大きい問題が表面化するまでは、ほとんど議論されません。彼らのたゆまぬ努力は、オープンソースソフトウェアの保守に不可欠である一方、この事件は、ソフトウェアリポジトリへのアクセス管理を強化することはもちろん、開発者レベルでのセキュリティスキルと意識に真剣に重点を置く必要性を浮き彫りにしている。

XZ Utilsのバックドアとは何ですか？

3月29日、Red HatはFedora Linux 40とFedora Rawhideのユーザーに対し、「XZ」圧縮ツールとライブラリの最新バージョンに、第三者による不正アクセスを容易にする目的で作られたと思われる悪質なコードが含まれていることを知らせる緊急セキュリティ警告を発表した。この悪質なコードがどのように注入されたかは、おそらく今後激しい研究の対象になるだろうが、脅威の主体である「Jia Tan」と呼ばれる偽名攻撃者側の、洗練された忍耐強い、何年にもわたるソーシャル・エンジニアリングの演習に相当する。この人物は、他のメンテナーの信頼を得るために数え切れないほどの時間を費やし、2年以上にわたってXZ Utilsプロジェクトとコミュニティに正当な貢献を行い、最終的には、複数のソックパペット・アカウントがボランティア・プロジェクトのオーナーであるLasse Collinの信頼を低下させた後、「信頼されたメンテナー」の地位を獲得した：

‍

‍

この異常なシナリオは、高度な技術を持つ人が、一般的に知識の浅い人に対する手口の犠牲になっている典型的な例であり、正確で役割に応じたセキュリティ意識向上トレーニングの必要性を示している。バックドアが発見され、バージョンがロールバックされたのは、マイクロソフトのソフトウェア・エンジニアであり、PostgreSQLのメンテナであるアンドレス・フロイントの探究心と素早い思考によるものであった。

このバックドア自体は、NISTのレジストリにおいて、可能な限り深刻度が高い脆弱性として公式に追跡されている。当初は SSH 認証の回避を可能にすると考えられていましたが、さらなる調査により、Fedora Rawhide、Fedora 41、Kali Linux、openSUSE MicroOS、openSUSE Tumbleweed、および Debian の一部のバージョンを含む脆弱な Linux システム上で、認証されていないリモート・コード実行が可能であることが判明しました。

Jia Tan 氏は、悪意のあるパッケージを難読化するために多大な労力を費やしたようで、ビルド・プロセス中に自身を構築するようトリガーされると、systemd を介した SSHd の認証が妨害されます。Red Hatが詳述しているように、適切な状況下では、この妨害によって攻撃者が SSHd 認証を破り、システム全体へのリモートからの不正アクセスを許してしまう可能性があります。

‍

マイクロソフト社などは、エクスプロイトのインスタンスをシステムでスキャンし、その影響を軽減するための包括的なガイダンスを公表しています。CISAが推奨する緊急の対策は、影響を受ける開発者とユーザーは、XZ UtilsをXZ Utils 5.4.6 Stableのような、問題のないバージョンにダウングレードすることです。

この種の攻撃を防ぐことは、特にオープンソースのコンポーネントをソフトウェアで利用する場合、サプライチェーンのセキュリティに対する保証と透明性がほとんどないため、非常に困難です。私たちは、ソフトウェアのサプライチェーンにおける偶発的な欠陥にはすでに対処してきましたが、このリスクは、オープンソースのセキュリティを侵害するために悪意を持って意図的に仕掛けられたセキュリティバグにまで高まっています。

ほとんどの開発者は、セキュリティに対する強い意識と健全なセキュリティ知識、そしてパラノイアを振りかけない限り、この種の攻撃を阻止することはできないでしょう。それはほとんど、脅威行為者の考え方を必要とする場合です。しかし、社内で管理されている（つまりオープンソースではない）ソースコードレポジトリを中心に、常に検討を重ねるべきである。これらは、検証された関連するセキュリティ・スキルを持つ人だけがアクセスできるようにすべきである。AppSec の専門家は、ブランチレベルのセキュリティ管理のようなセットアップを検討し、セキュリ ティスキルのある開発者だけが最終的なマスターブランチに変更をコミットできるようにする。

ボランティアメンテナーは英雄だが、安全なソフトウェアを維持するには村が必要だ。

ソフトウェア・エンジニアリングの領域外の人々にとっては、ボランティアで構成される活気あるコミュニティが、重要なシステムを自分の時間を使って丹念に保守するという概念は、理解しがたいものですが、これがオープンソース開発の本質であり、サプライチェーンを保護するセキュリティの専門家にとっては、重大なリスクの領域であり続けています。

オープンソース・ソフトウェアは、事実上すべての企業のデジタル・エコシステムの重要な一部であり、信頼できるメンテナ（そのほとんどは善意で行動している）は、技術の進歩と完全性を無私の心で追求することにおいて、本当に英雄的である。このようなDevSecOps中心の時代においては、セキュリティは共有責任であり、すべての開発者は、業務中に遭遇する可能性の高いセキュリティ問題をナビゲートするための知識と適切なツールで武装しなければならない。セキュリティ意識と実践的なスキルは、ソフトウェア開発プロセスにおいて譲れないものであるべきであり、企業レベルの変化に影響を与えるのはセキュリティリーダーにかかっている。
‍

セキュリティ文化の 構築 ﹑徹底的な調査によって、今すぐ組織に活気あるセキュリ ティ 文化を構築する Courses Secure Code Warrior から。

ソフトウェア開発者たちは、コードを書くために生成人工知能（AI）を活用する用意があり、喜んでいることを示してきた。しかし、彼らが危険なゲームをしている可能性があるという兆候もたくさんある。

GitHubによる最近の調査によると、米国の開発者の90％以上がAIコーディングツールを使用しており、完了時間の短縮、インシデントの迅速な解決、より協力的な環境といった利点を挙げ、彼らが重要だと感じていることを挙げている。AIツールを使って作業することで、開発者はルーティンワークを手放すことができ、企業に利益をもたらすよりクリエイティブな仕事に取り組めるようになり、ついでに仕事中の燃え尽き症候群の可能性も減る。

しかし、AIツールにはコードを書く際に欠陥が生じやすいという研究結果もある。Snyk社の調査によると、回答者の75.8％がAIのコードは人間のコードよりも安全だと答えたものの、56.4％はAIがコーディングの問題を引き起こすことがあると認めている。驚くべきことに、回答者の80％が、開発中にAIコードのセキュリティポリシーを回避していると答えている。

OpenAIのChatGPTが2022年11月にデビューして以来、生成AIモデルの使用は、他の多くの分野と同様に、金融サービスのコード開発プロセス全体に電光石火の速さで広がっている。GitHub Copilot、OpenAI Codex、そして増え続ける他のモデルのような他のモデルの急速な出現は、私たちがジェネレーティブAIにできること、そしてそれが持ちうるインパクトの表面をかすめたに過ぎないことを示唆している。しかし、その影響をポジティブなものにするためには、生成されるコードの安全性を確保する必要がある。

コーディングのバグはすぐに広がる

人間の開発者であれAIモデルであれ、コードには何らかのエラーが含まれる。AIは、高度に分散したクラウドベースのコンピューティング環境における増え続ける需要に対応するため、コード開発を加速させるのに役立っている。 

コードを書くように訓練されたAIモデルは、さまざまなタスクを実行するコードの何千ものサンプルを取り込み、それらのサンプルを参考にして独自のコードを作成することができる。しかし、そのサンプルに欠陥や脆弱性が含まれていた場合、それが元々人間によって作られたものであれ、他のAIによって作られたものであれ、モデルはそれらの欠陥を新しい環境に移す可能性がある。 

AIモデルが使用しているコードの欠陥を確実に認識する能力がないことが調査で明らかになっていることを考えると、欠陥や脆弱性の拡散に対する防御策はほとんど組み込まれていない。AIはコーディングでミスを犯すだけでなく、どこかで脆弱性が特定されるまで、自分自身のミスや他のソースからのミスを繰り返す。

コーディング欠陥の拡散に対する真の防御策は、人間とAIモデルが協力することだ。人間の開発者はAIのコード作成を監督し、安全でないコーディングのやり方や脆弱なコードに対するチェック機能を果たすべきである。しかしそのためには、開発者は安全なコード記述のベストプラクティスについて徹底的に訓練され、AIが犯すかもしれないコーディングミスを特定し、迅速に修正できるようになっていなければならない。

AIコードの作成と修復の課題

ChatGPTのような大規模言語モデル（LLM）の突然の爆発的な普及は、諸刃の剣のようなものだ。一方では、企業や日常的なユーザーは、時間のかかる、負担の大きい、または困難な雑務を処理するためにAIを使用することで、多大な生産性の向上を目にしている。もう一方では、AIに仕事を任せるとうまくいかない例もたくさんある。

AIモデルは明らかな間違いを犯し、バイアスを示し、まったくの幻覚を見せた。多くの場合、問題の根源は不十分な、あるいは無責任なトレーニングデータにあった。どのようなAIモデルも、学習させたデータと同程度の性能しか持たないため、学習データを包括的かつ慎重に吟味することが不可欠だ。しかし、それでもミスは犯すものだ。

AIをコーディングに利用することは、多くの同じハードルに直面している。AIが生成するコードには、クロスサイト・スクリプティングやコード・インジェクションの脆弱性、プロンプト・インジェクションのようなAIや機械学習（ML）特有の攻撃など、さまざまな欠陥が含まれていることが明らかになっている。また、AIモデルは、そのプロセスが透明ではないため、ブラックボックスの中で動作し、セキュリティチームや開発チームは、AIがどのように結論に達するかを見ることができません。その結果、モデルは同じ間違いを何度も繰り返すことになる。コード記述に影響を及ぼす可能性のある同じ欠点は、コードの修復やコンプライアンス要件への対応にAIを使用する場合にも当てはまります。 

AIモデルによって欠陥が作られたり繰り返されたりする可能性は、LLMが独自のオープン・ウェブ・アプリケーション・セキュリティ・プロジェクト（OWASP）のトップ10脆弱性リストを持つまでになった。

開発者とAIが協力して安全なコードを作成できる

AIが生成するコードの潜在的な欠陥についての懸念は、一部の組織に、このテクノロジーを進めることについて、一時的ではあるが、躊躇させるかもしれない。しかし、特にAI開発者がそのモデルを革新し、改善し続ける中で、潜在的なメリットは無視できないほど大きい。金融サービス業界は、AIを瓶に戻すことはないだろう。銀行や金融サービス企業はすでにテクノロジー主導型であり、常に競争上の優位性を求めている分野で事業を展開している。 

重要なのは、リスクを最小限に抑える方法でAIモデルを実装することだ。つまり、セキュリティーを意識し、セキュアコーディングのベストプラクティスについて徹底的なトレーニングを受けた開発者が、自らセキュアなコードを記述し、AIモデルが生成するコードを注意深く監視できるようにすることだ。AIエンジンと人間の開発者が緊密なパートナーシップで協力し、開発者が最終的な決定権を持つことで、企業は生産性と効率の向上というメリットを享受しながら、セキュリティの向上、リスクの抑制、コンプライアンスの確保を実現することができる。 

セキュアコーディングが金融サービス企業の成功、セキュリティ、利益の確保にどのように役立つかの包括的な概要については、新たに発表されたSecure Code Warrior ：金融サービスにおけるセキュリティトレンドの究極のガイド。

‍

‍

ブログ Secure Code Warriorサイバーセキュリティ、ますます危険になる脅威の状況、そして組織と顧客をよりよく守るために革新的なテクノロジーとトレーニングを採用する方法についての詳しい洞察については、ブログページをご覧ください。

‍

最近、私はウェビナーを主催する機会に恵まれた。ウェビナーでは、当社CTOのマティアス・マドゥとMednd.ioのシャロン・コチェフスキーが、脆弱性アラートを担当することについて議論した。セッションの中で、彼らはセキュリティ脆弱性アラートの処理における課題とソリューションの両方を探りました。ウェビナーを見逃した方のために、彼らの会話からいくつかの重要なポイントをご紹介します。もちろん、このウェビナーは現在オンデマンドでも配信されており、全詳細をご覧いただけます。 

AIがセキュリティに与える影響

マティアスは自動運転車に例えて、安全なソフトウェアを作るAIの現状を説明した。自動運転車は技術的には自分で運転することができるが、道路を走行中に問題に直面する。例えば、自動運転車が道路上で今までに遭遇したことのない問題に遭遇し、その結果ゴーストが壊れるという状況に言及した。問題は必ず起こり、それを解決するのは人間の技術者だ。同様に、開発者が盲目的にAIに従えば、コードのエラーや脆弱性が出てくる可能性がある。  

マティアス氏は、AIがより良いアウトプットを生み出すためには、AIモデルについて開発者を訓練するための規則性と数多くの優れたコード例が必要だと強調した。AIは現在、一般的なフレームワークではうまく機能しているが、何百万ものコード行で動作する実世界のアプリケーションでは不十分だ。

さらに、熟練した開発者であれば、コーディングの高速化というジェネレーティブAIのメリットを享受できるが、訓練を受けていない開発者は、不具合のあるコードを高速で再現し、貼り付けることができるため、脅威となる可能性があると説明した。 

積極性へのシフト

ディスカッションをリードしたトピックの1つは、プロアクティブな行動へのシフトであった。シャロン・コチェフスキーは、セキュリティ問題を監視し続けるのではなく、企業やAppSecプログラムが、セキュリティ報告に焦点を当てたリアクティブなアプローチではなく、実際のコード修正により、よりプロアクティブなアプローチを取ることを提唱している。マティアス氏と同様に、同氏は、純粋な管理的慣行を超えて、結果的な成果に焦点を当てる必要性を強調している。パネルディスカッションでは、リアルタイム・ダッシュボードや課題追跡機能を備えたセキュリティ製品の活用とともに、レポート作成の主要分野についても議論された。 

ギャップを埋める 

シャロンとマティアスはまた、開発者とセキュリティ管理者の間の断絶という、取り組むべき重要な問題を指摘した。組織や企業は現在、このギャップを埋めるためにセキュリティ・チャンピオンを増員している。セキュリティ・チャンピオンは、エンジニアリング・チーム内に配置されたセキュリティのプロであり、積極的なセキュリティ対策の推進を支援する。

言うまでもなく、私たちはこのトピックを表面化させたに過ぎず、会話はこのウェビナーの枠を超えて広がっている。継続的な議論と関与は、私たちの日進月歩の業界において極めて重要である。さらに詳しく知りたい方、セッションを再生したい方は、オンデマンドでご覧いただけます。

‍