「シフトレフト」にソフトウェア開発者が後ろ向きの理由と、前向きにする方法：セキュリティにも「シフトレフト」を【中編】

セキュリティの「シフトレフト」を実現するためには、セキュリティ担当者とソフトウェア開発者の密な連携が鍵を握る。両者間のコミュニケーションを改善する策とは。

[Melinda Marks，TechTarget]

　ソフトウェア開発において、セキュリティ設計の工程を前倒して実施し、脆弱（ぜいじゃく）性をいち早く発見、修正する考え方を「シフトレフト」と呼ぶ。シフトレフトは開発の効率化や高速化を図れる一方で、運用上のさまざまな課題もある。シフトレフトの歴史を振り返った前編「『シフトレフト』とは？　ソフトウェア開発“セキュリティ改革”の切り札」に続き、中編となる本稿はシフトレフトの課題に焦点を当てる。

シフトレフトを阻むソフトウェア開発者の“あの意識”

併せて読みたいお薦め記事

セキュリティのトレンドを抑えるには

• ウイルス感染に効く「セキュリティ衛生管理」のチェックリスト
• ランサムウェア攻撃者に広がる“人間不信”　原因は懸賞金と「いいね」依存症？

　ソフトウェア開発で肝心なのは、要件を満たした成果物を期限までに納品することだ。ただし開発のスピードを重視するあまり、ソフトウェアに脆弱性が残ってしまえば情報漏えいやシステム停止といった問題につながる恐れがある。ソフトウェア開発者は、機能を検証するためにソースコードの単体テストを実施し、セキュリティの問題を早めに把握することが重要だ。

　実際、ソフトウェア開発者がリリース前にセキュリティツールを使用することはある。無料で使えるオープンソースソフトウェア（OSS）のセキュリティツールが豊富に存在する。クラウドセキュリティベンダーもセキュリティテストの自動化機能を提供している。

　セキュリティツールが豊富でも、セキュリティテストに関するソフトウェア開発者の経験や知識が不十分であれば、誤った使い方によって問題を発生させる恐れがある。そのためソフトウェア開発者はセキュリティ専門家を目指さず、「仕事が増えるのでセキュリティツールを使いたくない」と考えるのが現実だ。

　ソフトウェア開発者は、開発工程の妨げにならずに、バックグラウンドで自動実行されるセキュリティテストを求めている。セキュリティツールはソフトウェア開発者が使っている統合開発環境（IDE）で機能しなければならない。ソースコードに脆弱性を検出したとき、修正のために開発環境を切り替えることを不要にするためだ。

「ボトルネックになりたくない」セキュリティ担当者　連携を強化する鍵とは？

　開発工程において、セキュリティ担当者はリリースの速度や回数に合わせてセキュリティを高める方法に精通する必要がある。セキュリティ担当者は、ソフトウェア開発者より人数が少ないのが一般的だ。そのためセキュリティ担当者がソフトウェア開発者とやりとりしながらセキュリティテストを実行することは簡単ではない。セキュリティ担当者は「自分がボトルネックになり、開発工程を停滞させたくない」と考えることもある。

　セキュリティ担当者は、ソフトウェア開発者がリリース前に実施したテストについて十分に把握していない可能性がある。リリース前にセキュリティの問題を発見しリスクを減らすために、テストの詳細をソフトウェア開発者がセキュリティ担当者に共有し、両者間で密にコミュニケーションを取ることが不可欠だ。

　このように、セキュリティ担当者とソフトウェア開発者の連携が重要だ。セキュリティツールを導入したり、セキュリティポリシーを設定したりする権限がセキュリティ担当者になければ、セキュリティの問題を解決できない恐れがある。一方で注意が必要なのは、セキュリティツールの使用によってソフトウェア開発者の作業が増えないようにするという点だ。それを解決できれば、ソフトウェア開発者もセキュリティツールの使用に前向きになると考えられる。

---

　後編は、セキュリティのシフトレフトを成功させるためにセキュリティ担当者とソフトウェア開発はそれぞれどのような役割を果たすべきなのかを説明する。

TechTarget発　世界のインサイト＆ベストプラクティス

米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。