The Old Ways Are Not Enough Anymore 古い方法はもう足りない。 私は、脆弱性のためのアプリケーションのスキャンが勝利のように感じたときのことを覚えています。あなたはいくつかの自動ツールを実行し、それらがマークしたものを修正し、すべてをコンプライアンスのためにドキュメントし、それに移行しました。当時、このルーチンはゲートを安全に保つように感じました。 今日のアプリケーションは、明確な周囲を持つローカルサーバーに存在するだけでなく、クラウド環境、API、コンテナ、およびマイクロサービスを広げ、意欲的に上下にスピンアップする。 Why Scanning Alone Isn’t Security なぜ独自のスキャンは安全ではないのか 脆弱性スキャンにはその場所があります。それは不可欠な早期警告システムとして機能します。それはあなたの知られているコードベースで物事が破損している場所を教えてくれます、時代遅れのライブラリを旗にし、低く吊るされているセキュリティフルーツを識別できます。しかし、問題は、そこで止まります。それはそれらのリスクの真の重みを理解するのに役立ちません。 それは、どのようにして一つの欠陥がより大きなビジネス脅威にカスカードするのかを教えてくれません。 私は、チームがどのような優先順位が欠けている脆弱性レポートに埋め込まれるかを最初の手で観てきました。彼らは、理論的な実績ではなく、現実世界の結果を念頭に置いて設計された重症度のスコアに基づいて問題を修正するために競い合うようになりました。最も有害な仮定の1つは、すべての高重症度の脆弱性を同様に緊急と扱うことです。 Understanding Risk in Real Business Terms 現実ビジネスにおけるリスクの理解 アプリケーションのリスク管理に必要なのは、より広いレンズであり、技術的な欠陥だけでなく、運用現実、ビジネス影響、ユーザーの曝露にも関わります。たとえば、ピークシーズン中に支払い処理モジュール内の問題は、開発サンドボックスの同じ問題よりも非常に異なる重みを持ちます。 スキャンツールが創造する完全性の幻想もあります。スキャンがクリーンに戻るだけで、すべてのベースをカバーしていると考えるのは慰めです。しかし、リスクは常に既知の脆弱性から来るわけではありません。時には、建築的な選択から来ることもあります。 Moving From Periodic Reviews to Continuous Risk Awareness 定期的なレビューから継続的なリスク意識への移行 現代のリスク管理は、アプリケーションを生きたシステムとして扱うことを意味します。これらのシステムは絶え間なく進化しています。 展開、統合、機能リリースごとに、リスクの風景は変化します。 だからこそ、アプリケーションリスクの管理の未来は継続的で、エピソード的なものではありません。 スプリントや四半期の終わりに一度の評価はそれを削減しません。 リスクは、次回のスキャンが予定される前に長く表面化し、広がります。 そして、リスクは反応的に監視するだけではありません。プロアクティブであることは、リスク意識を設計および開発プロセスに組み込むという大きなパワーを持っています。セキュリティとリスクチームが早期に協力すると、クラス全体の脆弱性をコードベースに組み込む前に解消する方法でアーキテクチャの決定を指導するのに役立ちます。 Vulnerabilities Evolve Faster Than You Ship — Monitor or Fall Behind 脆弱性は船舶よりも速く進化 - モニターまたは後ろに落ちる スピードはあなたの資産だけでなく、あなたの敵でもあります。 毎日、新しい脆弱性がリリースされています。Exploit kitsはこれまで以上に速く武器化され、攻撃者はパッチサイクルを待ってはいません。 脆弱性の発見のペースは、従来のセキュリティ実践を超えています。CVEが公表され、積極的に利用されている間の格差は、しばしば数時間ではなく数日で測定されます。 このため、リアルタイムの脆弱性モニタリングは「持つのは良いこと」ではありませんが、存在することが不可欠です。脆弱性の静的評価は、インフラストラクチャとアプリケーションの行動、CI/CDパイプラインの脅威インテリジェンスフィード、現在のスタックとの自動 CVE 関連、ビジネスリスクと利用可能性によるセキュリティ修正の優先順位化が必要です。 そして、これらの洞察は、市場向けのSLAとオープンタイムのコミットメントと結びつく必要があります。なぜなら、ゼロデー危機の時に、公共の監視の下で崩壊すれば、抵抗性のあるシステムは何の役に立つのでしょうか。 セキュリティと可用性はもはや別々の目標ではありません - 彼らはあなたのオープンタイムの約束の2つの側面です。 Yes, Some Risk Is Actually Healthy はい、いくつかのリスクは実際に健康的です しかし、すべてのリスクが悪いわけではありません。実際には、最も影響力のあるイノベーションのいくつかは、一定の量の計算されたリスクを引き受ける準備ができていたチームから来ています。 封筒を押す製品のリリースや新しい市場を開くプラットフォームの統合を考えてください。 これらは低リスクの動きではありませんが、必要なものです。 成熟したリスク管理戦略はそれを認識し、それをサポートします。 すべてのリスクを排除することを目指すのではなく、それを理解し、計画し、それについて明確な決定を下すべきである。これは脆弱性の検出だけでなく、どのレベルのリスクが受け入れられるか、どのような指標が介入の必要性を示し、これらの指標をリアルタイムで監視する方法を定義することを意味します。 We Need Better Metrics—Not Just More of Them We Need Better Metrics - Not Just More of Them メトリクスはここで大きな役割を果たしますが、「オープンな脆弱性の数」のような基本的なものだけではありません。これらは結果と関連付けられていない場合の虚偽の統計です。私たちに必要なのは、物語を物語るメトリクスです。私たちは最も重要な問題をどのくらい迅速に解決していますか? 同じコードの領域で繰り返しの出来事を見ていますか? リスク曝露の面で今どのように比較しますか? これらの質問に対する答えは、いかなる平らな重度のスコアよりも多くの洞察を提供します。 この新しい環境で繁栄する組織は、リスクを共有責任として扱う組織です 開発者、製品マネージャー、建築家、セキュリティチーム、そして法的およびコンプライアンスの人々でさえ、役割を果たすことができます。 The Real Shift Is Cultural, Not Just Technical The Real Shift Is Cultural, Not Just Technical(本物の変化は文化的で、技術的なものではない) もちろん、このような統合を達成することは一晩で起こるものではありません。リスクがどのように認識されるかを再定義することから始まります。ブロッカーではなく、シグナルとしてではありません。建設をやめる理由ではなく、よりスマートに構築する理由としてです。 最終的には、アプリケーションリスク管理の未来は、スキャナを置き換えることではなく、会話を高めることである。それは脆弱性の狩りから戦略的意思決定に移行することである。 私たちは、スピードとセキュリティがもはや対立する勢力ではない時代に入りつつあります。本当の課題は、どれだけ速くリリースできるかではなく、それを減速することなく安全にできるかです。 
 
 このストーリーは、HackerNoonのBusiness Blogging Programの下でSanya Kapoorによってリリースされたものです。 このストーリーは、HackerNoonのBusiness Blogging Programの下でSanya Kapoorによってリリースされたものです。

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Read My Stories

このオーディオは、ストーリーの元の言語で制作されています。

アプリケーションリスク管理の未来:脆弱性スキャンを超えて

About Author

コメント

ラベル

この記事は

Related Stories

タップして稼ぐ：テレグラムはソラナより先に次の100億人の暗号通貨ユーザーを獲得する可能性がある

18 種類の開発者ツールで生産性を向上しましょう 🚀🔥

目に見えない層: ユーザーインタビューがかけがえのない資産である理由

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

タップして稼ぐ：テレグラムはソラナより先に次の100億人の暗号通貨ユーザーを獲得する可能性がある

18 種類の開発者ツールで生産性を向上しましょう 🚀🔥

目に見えない層: ユーザーインタビューがかけがえのない資産である理由

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps