サイバーセキュリティに関するContrastのDavid Lindner(CISO)の視点 | 2025年5月16日

ポイント1 — セキュリティベンダーへの注意喚起

今年のRSACで、一部のセキュリティベンダーの信頼性、説明責任、透明性の欠如を指摘した公開状が大きな反響を呼んだことについて考えてみよう。脅威の検知と対応に必要なデータそのものを提供することで利益を得ているセキュリティベンダーは、パートナーではなく、潜在的な障害だ。 真のセキュリティ連携には、ログへのアクセスが透明性があり、制限がないことが不可欠だ。脅威と戦うために必要な情報に対して、基本的に料金を請求するセキュリティベンダーには注意が必要だ。そのようなベンダーは、助けになるというより、障害となる。

ポイント2 — アプリケーションセキュリティはCISOのもの

はっきり言うが、アプリケーションセキュリティがCISOから遠ざかっていると認識されているなら、それは現代のリスクに対する根本的な誤解である。今日のアプリケーションに内在する脅威は、単なる技術的な脅威ではなく、ビジネス上の脅威である。アプリケーションセキュリティ分野に対するCISOの監督権限が希薄になるような組織構造は、長期的には、運用上の重大な脆弱性(本来なら回避可能)に直面する可能性がある。

ポイント3 — また脆弱性データベース？助けにもならない

また新しい脆弱性データベースができたのか？だから何？EU(欧州連合)の新しいリポジトリが、NVDやCNNVDに加えて誕生したことは、それ自体が状況を大きく変えるものではない。これは、既に膨大な数の公開済みの脆弱性情報が飛び交う中に、単に新たなデータポイントが追加されたに過ぎない。本当の課題は、これらの大量の情報に効果的に優先順位を付け、いかに実際の行動につなげていくかにある。