サイバーセキュリティに関するDavid Lindner(Contrast CISO)の視点 | 2025年5月9日

ポイント 1 — SWFTへの期待と歴史が示す影

米国防総省(DoD)のソフトウェアファストトラック(SWFT)の提案は、2024年の覚書M-24-15の意向を反映しているものの、歴史は同じ結果が繰り返される可能性を示唆している。連邦政府機関が、政策転換後でさえも独立監査の実施に消極的だったのは、実施する意欲がなかったからではなく、能力の不足が原因であった。監査実施のための具体的な解決策が組み込まれない限り、SWFTは同じような停滞に直面するだろう。

ポイント 2 — オープンソースに潜むリスク

一見無害に見え、広く採用されているコンポーネントが、自分達のインフラの奥深くで予期せぬリスクを抱えているとしたらどうだろう。easyjsonの発見は、無関係なインシデントではない。オープンソースのエコシステムの層を掘り下げていくほど、このようなリスクはさらに増えるだろう。CISOは、ソフトウェアスタック全体で監視機能とインシデント対応能力の強化が必要となる、不安定な時期に備えなければならない。

ポイント 3 — セキュリティ担当には、データを増やすのではなく、より質の高いデータを

あなたの会社のセキュリティ担当は、大量のアラートを受け取り、ノイズとシグナルの判別に苦労していないだろうか？その答えは、より多くのデータではなく、より良いデータにある。ADR(アプリケーションにおける検知と対応)の精度の高い情報について検討してほしい。WAFなどの従来のツールによって、区別されていないアラートが大量に生成されるのとは全く対照的に、セキュリティ情報に富んだインテリジェンスを得ることができるからだ。