今後のソフトウェアの責任: ソフトウェアベンダーはどのようにして増大する責任に備えるか

ベリタスの最高情報セキュリティ責任者として、私はソフトウェアセキュリティの状況が絶え間なく進化し、ソフトウェアベンダーに課せられる責任が増大していることを痛感しています。サイバー攻撃の頻度が増し、巧妙化し続ける中、ソフトウェアベンダーは機能的で効率的な製品を提供するだけでなく、その製品の安全性と回復力を確保することが不可欠になっています。

今後のソフトウェアの責任を掘り下げ、ベンダーがこの重要な領域での責任の増大に備える方法についてのインサイトをご覧ください。

ソフトウェアの責任の移行がもたらす影響

これまで、ソフトウェアベンダーは、セキュリティ侵害や製品の欠陥に対する責任はほぼ問われませんでした。しかし、デジタルテクノロジへの依存が増し、サイバー攻撃が企業や個人に与える影響が増大するにつれ、状況は変化しています。規制当局や立法者は現在、製品のセキュリティに関して、ソフトウェアベンダーの責任範囲をこれまでより増やすことを検討しています。米国ではすでに検討が進められており、最近発表されたバイデン政権の国家サイバーセキュリティ戦略では、ソフトウェア製品とサービスに対する責任を明確に作成者へと移行し、安全な開発の実践を推奨しています。

この責任の移行は、ソフトウェアベンダーにさまざまな影響をもたらす可能性があります。

1. ソフトウェアベンダーの責任の増大: ソフトウェアの責任が移行されると、ソフトウェアベンダーは、ソフトウェアの安全性と必要な品質標準への対応について、より重い責任を負うことになります。
2. ソフトウェア品質の強化: ソフトウェアの責任の移行は、ソフトウェアの品質を高め、欠陥やセキュリティの脆弱性の可能性を減らす動機をソフトウェアベンダーにもたらす可能性があります。
3. ソフトウェアベンダーのコスト上昇: ソフトウェアの責任の移行により、ソフトウェアを安全で欠陥のないものにするためにテスト、品質保証、セキュリティ対策への投資を増やす必要が生じる場合があるため、ソフトウェアベンダーのコストが上昇する可能性があります。
4. ソフトウェア契約および保証の変更: ソフトウェアの責任の移行により、ベンダーはソフトウェアの結果から生じる潜在的な訴訟や損害から守られなければならないため、ソフトウェア契約や保証を変更する必要が生じる場合があります。
5. ソフトウェアへの信頼の向上: ソフトウェアの責任の移行により、ソフトウェアベンダーが欠陥や脆弱性から生じる損害の責任を負うと認識されるため、エンドユーザーのソフトウェアへの信頼が高まる可能性があります。
6. 法的状況の変化: ソフトウェアの責任の移行により、裁判所や立法者が新しい責任合意に適応する必要があるため、法的状況が変化する可能性があります。

最終的に、ソフトウェアの責任の移行はソフトウェアベンダー、エンドユーザー、法律制度に大きな影響を及ぼす可能性があります。ソフトウェアの品質を改善し、ソフトウェアへの信頼を高める動機をソフトウェアベンダーにもたらす可能性がある一方で、コストが上昇し、ソフトウェア契約および保証の変更が必要になるかもしれません。結局は、個々の企業が特定のニーズやリスク許容度に基づいてソフトウェアの責任に対する最善のアプローチを決定することになります。

ベンダーが安全なソフトウェアを構築するための推奨事項

企業が安全なソフトウェアアプリケーションを開発する際に利用できる 10 のベストプラクティスを紹介します。

• 脅威モデリング: システムまたはアプリケーション内の潜在的なセキュリティの脆弱性をプロアクティブに特定し、攻撃者に悪用される前に対処するための対策を講じます。つまり、アプリケーションの設計、構成、または実装での脆弱性の特定と対処、潜在的な攻撃ベクトルの特定、これらのリスクを軽減するための適切なセキュリティ制御の実装などです。

• セキュアコーディング: 安全で回復力のあるアプリケーションを構築するために不可欠です。その主な要素は、入力検証、認証と承認、安全な通信、エラー処理、アクセス制御、安全な構成、セキュアコーディングの実践などです。

• Software Bill of Materials Management (SBOM): SBOM (Software Bill of Materials) は、サードパーティライブラリ、フレームワーク、その他の依存関係を含む、ソフトウェアアプリケーションまたはシステムを構成するすべてのコンポーネントのインベントリです。SBOM は、ソフトウェア開発に不可欠なコンポーネントであり、サードパーティコンポーネントや依存関係での潜在的な脆弱性とリスクを特定し、業界規制および標準へのコンプライアンスを確保し、開発チームとその他の関係者とのコラボレーションやコミュニケーションを改善するのに役立ちます。SBOM への投資により、企業はサプライチェーンリスク管理を改善し、セキュリティ侵害のリスクを減らし、オープンソースライセンス要件へのコンプライアンスを確保できます。

• コードレビュー: 開発ライフサイクルの初期の段階で潜在的なセキュリティの脆弱性を特定し、ソフトウェアまたはアプリケーションの配備前に修正できるようにします。包括的なセキュリティテストおよび保証戦略の重要なコンポーネントです。

• 侵入テスト: 包括的なセキュリティテストおよび保証戦略の重要なコンポーネントです。主な利点は次のとおりです。

       A. 潜在的な脆弱性の特定。

       B. 攻撃ベクトルに関するインサイトの提供。

       C. セキュリティ体制の向上。

       D. コンプライアンス要件への準拠。

       E. リスクの軽減と侵害の影響の最小化。

• 安全な構成管理: ソフトウェアシステムおよびアプリケーションが一般的なセキュリティの脆弱性や弱点を防止するために適切に構成および強化されるようにするための構成管理プロセスです。システム構成のセキュリティポリシーとベストプラクティスを確立し、適用します。安全な構成管理の主なコンポーネントは次のとおりです。

      A. 標準構成

      B. 変更管理

      C. セキュリティ制御

      D. 脆弱性管理

      E. パッチ管理

• アクセス制御: 機密性の高いデータ、機能、リソースへのアクセスを権限のあるユーザーまたはシステムのみに制限します。

• セキュリティトレーニング: 開発者が安全なソフトウェアを構築し、セキュリティ侵害のリスクを軽減するために必要なスキルと知識を身に付けられます。セキュリティトレーニングへの投資により、企業はソフトウェアのセキュリティ体制を改善し、セキュリティ侵害のリスクを減らし、開発チーム内にセキュリティ意識の文化を築くことができます。

• インシデント対応: 明確に定義されたインシデント対応は、ソフトウェア開発の重要なコンポーネントです。ソフトウェアシステムおよびアプリケーションでのセキュリティインシデントや脆弱性を特定し、調査、対応します。

• 継続的な監視: セキュリティの脆弱性または侵害の兆候がないかどうか、システムログ、ネットワークトラフィック、ユーザーの行動を継続的に監視します。

これらのベストプラクティスを実践すれば、潜在的なセキュリティの脅威や脆弱性に耐えられる、安全かつ信頼性の高いソフトウェアアプリケーションを開発できます。不正アクセスを防止し、機密データを保護するには、ソフトウェア開発のあらゆる段階でセキュリティを優先することが不可欠です。

結論

今後はソフトウェアの責任について、ソフトウェアベンダーは新たな課題と責任を負うことになります。ベンダーはこのような責任を受け入れ、プロアクティブな対策を講じて製品のセキュリティを高めることによって潜在的なリスクを最小限に抑えるだけでなく、顧客とユーザーの保護に対するコミットメントを示すことができます。

SDLC、脅威モデリング、SBOM 管理、従業員トレーニングやセキュリティ意識への投資といったベストプラクティスを導入すると、より安全で回復力のあるソフトウェアを構築できます。さらに、セキュリティ対策に関する透明性を確保し、セキュリティコミュニティとコラボレーションすれば、製品のセキュリティに対する信頼を高めることができます。

この進化する状況に対して協力して取り組み、だれにとっても安全なデジタル環境を作っていきましょう。知識と専門技術を共有すれば、ソフトウェアセキュリティのレベルを上げ、デジタルエコシステムの未来をより安全なものにすることができます。

連携によってソフトウェアの責任の増大という課題に対応し、変化する状況に適応し、顧客とユーザーのニーズを満たす安全で信頼性の高い画期的なソリューションを提供し続けることができます。

今すぐ企業のサイバーセキュリティ体制を強化してください。堅ろうなサイバーレジリエンス計画の作成をベリタスがどのようにお手伝いできるかを、ベリタスのサイバーレジリエンスのページでご確認ください。