2000年代初頭、Renee Guttmann氏がニューヨーク市で初めてOpen Worldwide Application Security Project（OWASP）の会合を開いたとき、業界の関係者や参加者の間には懐疑的な空気が漂っていました。そもそも、Webアプリケーションの脆弱性をスキャンして何になるのか、というわけです。
それから20年以上が過ぎ、セキュリティコンサルティング会社Cisohiveの創設者であるGuttmann氏は、もう人々に耳を傾けてもらうために奔走する必要はありません。ソフトウェアセキュリティの向上を目指すOWASPのような取り組みは今や、ソフトウェア開発ライフサイクル（SDLC）に関する議論に日常的に招かれています。開発者やチームが、計画、テスト、デプロイ、保守の各段階にセキュアなソフトウェアの実践を組み込むのを支援するためです。
一方で、拡大し続ける攻撃対象領域に加え、開発者以外の人やAIが書くコードが増えたことで、SDLCにセキュリティを根付かせることは難しくなっています。ただし専門家は好機も見ています。チーム間の連携が深まり、最も脆弱な攻撃経路を特定するためのアイデンティティの可視性が高まり、パッチ適用コストを下げる技術も登場しているため、変化に追いつくための道筋が見えてきたというのです。
AIによって発見される脆弱性の膨大な量と、急速に変化するAIセキュリティのニーズを踏まえると、これまでSDLCにセキュリティを組み込んできた方法は、現在の脅威環境に合わせて見直す必要があります。
連携を深める絶好の機会
Dark Readingが開催した、SDLCにおけるセキュリティの重点の移し方をテーマとする限定ラウンドテーブルで、Guttmann氏は、セキュリティ部門と開発部門を結びつけるのが以前よりはるかに容易になったと強調しました。ソフトウェア開発の早い段階から、より頻繁にセキュリティを組み込むことの重要性が組織に認識されるにつれ、セキュリティチームやCISOは部外者から引く手あまたの協力者へと立場を変えたといいます。セキュリティチームは初期段階からより多くの貢献ができるとし、同氏はこれを「抜本的なコラボレーション（radical collaboration）」と呼びました。
取締役会や株主を含む経営層は、ポリシーにとどまらず、クリーンなコードを書くためのソリューションを実装できる体制など、より多くのガードレールを求めていると同氏は説明しました。今こそ、IT部門以外のユーザー開発者も含めた開発者のもとに戻り、パートナーシップを築いて、開発環境にセキュリティスキャンをより深く組み込むべき時だと付け加えました。
「私たちのために築かれてきた勢いを生かし、本当の意味でパートナーとして、この分野で積極的に動く絶好の機会です」とGuttmann氏は述べました。
同じくラウンドテーブルに参加したBlueFlag SecurityのCISO、Bobby Bauer氏は、セキュリティチームと社内の他部門とのコミュニケーションが、現在この分野で大きな好機になっていると指摘しました。「セキュリティ部門が他部門のためにやっていることの多くは、知られていません」と同氏は話します。その代表例として挙げたのがレガシーソフトウェアです。更新が業務プロセスを遅らせないよう、裏で静かに保護されていることが多く、社内の他の人々には気づかれにくい仕事だといいます。
「プロセスの初期段階から関与できるようになれば、プロセス全体で発言する機会も与えられます」とBauer氏は述べ、これを「大きな改善」だと評価しました。
「それを直せば、好きなだけ速く進める」
組織はパッチを適用すべき長大な脆弱性リストを抱えています。オープンソースコンポーネントやAI生成コードに潜み、まだ把握されていない問題の可能性は言うまでもありません。リスクには事欠きません。しかしBauer氏は、現時点で最も無防備な攻撃経路はアイデンティティの領域だと警告しました。
現在の開発ライフサイクルには非人間アイデンティティがあふれています。Entroの最近のレポートによると、平均的な企業環境には、人間のアイデンティティ1件につき144件の非人間アイデンティティが存在します。アプリケーション、ボット、AIエージェント、デバイスは、人間の監視なしにシステムと通信できるため、可視性の確保が課題になります。ガードレールを設けなければ、共有された認証情報、脆弱な認証情報、有効期間の長い認証情報が生まれかねません。攻撃者はそれを見つけて悪用し、組織に侵入する恐れがあります。
Guttmann氏によると、こうしたアイデンティティ、とりわけ非人間アイデンティティについては、信頼できる唯一の情報源が存在しないことが最近の調査で示されています。組織は、それらが何にアクセスできるのか、どのレベルの権限を持っているのかを把握できていない可能性があるとも述べました。同氏はCloud Security Allianceの調査を引用し、68%の組織が、AIエージェントによる操作と人間による操作を区別できないと紹介しました。
そのため組織は、こうしたアイデンティティに有効期間の短い認証情報を付与し、エージェントの活動とライフサイクル全体を記録する仕組みを整えることが重要だと、同氏は提言しました。
Western Unionでサイバーセキュリティ戦略担当VPを務めていたRusty Perry氏は、ラウンドテーブルで次のように警告しました。セキュリティチームはAIを使ってコードをより速く開発しており、その流れは止まらず、エージェントがその大きな部分を担うことになります。チームが安全に素早く動くためには、自社システム内で動いているのが誰（何）なのかを常に把握しているという思い込みを捨てる必要があるというのです。
「私の考えでは、まずそこを直せば、あとは好きなだけ速く進めます」とPerry氏は述べました。
AI生成コードの急増は、アプリケーションのすべてのコードは明確な意図と説明責任を持つ人間が書いたものだ、という長年の前提を覆しました。TikTokの元グローバルエンタープライズセキュリティ責任者であるAftab Banth氏は、ラウンドテーブルで、ソースコードとSDLC環境全体は巨大な攻撃対象領域であり、従来は十分な対策が行われてこなかったと語りました。同氏は、BlueFlagによって組織はどこに隙間があるかを可視化でき、それを素早く修復できるようになったと説明しました。
BlueFlagは、どの開発ツールがパイプラインやリポジトリへの管理者権限を持っているかをセキュリティチームが直接把握できるようにし、セキュリティチームとエンジニアリングチームの間の壁も取り払います。Guttmann氏は、この領域にどれほどのリスクがあるか気づいていなかったと振り返り、特に企業買収の場面でそれを痛感したといいます。
「よく冗談で言うのですが、最大のリスクになるのは家の玄関ではなく、忘れていた小さな扉なんです」とGuttmann氏は語りました。
AIは本当にSDLCの役に立つのか
ただ、AIがSDLCを複雑にした一方で、AIモデルやツールは組織のコスト削減にも役立つとBanth氏は述べました。コードの保護にかかるコストは、いまやコードを作るのと同じくらい安くなり得るため、セキュリティチームに新たな創造的選択肢が開けるといいます。攻撃者はAIを使って脆弱性を見つけたりエクスプロイトを開発したりする速度を上げていますが、同氏が見てきたソフトウェアセキュリティにおけるAIの最大の恩恵は修復だと話しました。
「[脆弱性の]速度についてはよく議論されますし、確かに上がりました。しかし初めて、修正する、少なくともパッチを見つけるためのコストがゼロに近づいたのです」と同氏は付け加えました。
Guttmann氏もこれに同意し、AIは脆弱性をマシンの速度で特定する助けになると述べました。2000年代初頭に初めてシステムテストを実施した際、ベンダーからコードに脆弱性があるかどうかを調べるだけで7万5,000ドルを請求されたといいます。今では、1ユニットのテストにそれだけの費用がかかると組織に伝えることなど想像できないと語りました。
「次に訪れる変化、すでに始まっているかもしれませんが、それはAIがパッチや修正を自動適用した場合の影響を予測できるようになることだと思います」と同氏は話します。「AIのおかげで、パッチの適用や問題の修正を、より迅速に、より確信を持って行えるようになると思います」
翻訳元: https://www.darkreading.com/application-security/close-identity-gaps-sdlc-before-ai
