Snyk創業者に聞く–DevSecOps、生成AIとソフトウェア開発、SBOM

今回は「Snyk創業者に聞く–DevSecOps、生成AIとソフトウェア開発、SBOM」についてご紹介します。

関連ワード (CIO/経営、トップインタビュー等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 ソフトウェア開発プロセスにセキュリティを組み込む「DevSecOps」。脆弱性管理ツールを手掛ける米Snyk創業者のGuy Podjarny(ガイ・ポジャーニー)氏は、「DevSecOpsはDevOpsに追従している。新しいスタイルであり、この変化に対応していかなければならない」と話す。同氏に、DevSecOpsの現状や話題の生成AIがソフトウェア開発やセキュリティに与える影響、米国で義務化の実施が迫るソフトウェア部品表(SBOM)の影響などについて聞いた。

 Podjarny氏は、2002年からアプリケーションセキュリティに従事している。この分野のスタートアップだったSanctumに在籍し、その後SanctumがWatchfire、さらにWatchfireが2007年にIBMに買収され、ここでソフトウェアの開発工程からセキュリティを考慮していく「シフトレフト」の意義を学んだという。「シフトレフトを実践すれば、ソフトウェアのリリース後の脆弱性対応といったセキュリティのコストを100分の1にもできることを体験した。しかし、DevOpsの領域にまでは行けなかった」

 IBMの後に同氏は、ウェブのフロントエンド最適化技術を手掛けるBlazeを起業した。2012年にAkamai TechnologiesがBlazeを買収し、同氏はAkamaiの最高技術責任者(CTO)に就任し、DevOpsとアプリケーションセキュリティを推進した。その経験を踏まえて2015年にSnykを創業している。

 Podjarny氏が「DevSecOpsはDevOpsに追従している」と話すのは、DevSecOpsが、ソフトウェアの開発と運用をつなげてビルドやテスト、リリースのサイクルを迅速化することによりスピードと品質を両立させていくDevOpsを前提として、そこにセキュリティも組み込むというものになるからだ。

 「昔ながらのウォーターフォール開発では、ビルド後の脆弱性検査など、一定のタイミングでセキュリティを実践するプロセスがあった。しかし、シフトレフトでは常にセキュリティを実践することになり、スタイルが異なる。DevSecOpsでは、開発者がスタイルの変化に対応していく必要がある」

 「ソフトウェア開発者は、セキュリティの問題によって開発の作業が中断したり、問題解決のための手戻りが発生したりすることを嫌う。セキュリティの問題はなるべく早く見つけて、短い時間で容易に解決できることを求めている」

 Podjarny氏がSnykを創業したのは、こうしたセキュリティにまつわる開発者の悩みを解決すべく、開発者がセキュリティの問題を迅速かつ効果的に対処して解決できるツールを提供するためだったという。

 現在のセキュリティテーマの1つに、ソフトウェアのサプライチェーンセキュリティがある。もともとは、商用ソフトウェアなどに使われるオープンソースのライブラリーやコンポーネントに潜む脆弱性をサイバー攻撃者が悪用し、商用ソフトウェアのユーザーのシステムへ不正侵入を行うなどの被害が大きな問題となったことが背景にある。

 開発者がオープンソースのライブラリーやコンポーネントなどを活用するのは“常識”だが、いざセキュリティの問題が発覚すると、開発者は自身でどのようなライブラリーやコンポーネントなどを利用しているのかを再点検し、パッチ適用を含め問題解決に対処しなければならない。この作業には大きな負担を伴い、本来の開発作業における生産性も大きく損なわれてしまう。

 Podjarny氏は、「Snykではオープンソースソフトウェアの脆弱性対策にも率先して取り組んできた。膨大な脆弱性の情報を収集し、解析し、開発者に効果的な対処方法を伝えて対応を促す。既に多くの開発者に利用され、そうした実績がベストプラクティスとして蓄積され、開発者に活用してもらう。CI/CD(継続的なインテグレーションとデリバリー)のようなスタイルで、あらゆる開発者がセキュリティの作業も容易に実践できるようになってほしい」と話す。

 Podjarny氏によれば、同氏がDevSecOpsの必要性を訴求し始めた10年ほど前は、まずDevSecOpsとは何か、どんな意義があるのかを懇切丁寧に開発者に説明しなければならなかったそうだ。現在では、ソフトウェアのサプライチェーンセキュリティが重要テーマの1つになったように状況が変わり、「少なくともセキュリティの問題に直面したことがある開発者はDevSecOpsを実践しないといけないと認識している。『DevSecOpsとは何か?』という状況から『具体的にDevSecOpsをどうやって実現するのか?』と、開発者から方法を尋ねられるようになった」という。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
Xbox版「Microsoft Flight Simulator」、発売日に買うとすぐにはプレイできず 「プレイの準備をしてお待ちいただけると」
くらテク
2021-07-27 01:02
NTTSportictがアマチュアスポーツの自動撮影・自動配信が可能な「Stadium Tube Lite」を発表
人工知能・AI
2021-06-19 05:14
GitHub、全てのコード提供者に2要素認証を義務付け–2023年末までに
IT関連
2022-05-07 09:39
公務員のテレワーク進まず 住民との窓口多く対応に苦慮
IT関連
2021-01-16 18:27
ビル・ゲイツ氏、「これまでで最もお気に入りの5冊」発表–U2ボノの回顧録も
IT関連
2022-11-26 07:46
シンガポール、AI開発の加速に向け5年で約1100億円を投資へ
IT関連
2024-02-23 18:42
イーロン・マスク氏のSpaceX Starshipイベントで残る大型ロケットをめぐる多くの疑問
IT関連
2022-02-13 09:11
Snapchatの初期メンバーが女性のためのソーシャルストーリーテリングアプリ「Yoni Circle」を開始
ネットサービス
2021-02-15 07:18
松屋の「マッサマンカレー」全国販売、2月2日から 「世界一おいしい料理」
くらテク
2021-01-27 22:22
「クラウドで知的生産性を高めよ」–マイクロソフトが国内向け特別講演
IT関連
2022-10-15 13:13
プロセスマイニング技術は日本企業のDXに大きなインパクトをもたらすか
IT関連
2022-07-30 00:27
Salesforceが約3兆円で買収したSlackとの初の統合を発表
ネットサービス
2021-08-19 20:51
セガ、“ゲーム実況”ガイドライン公開 YouTube公式の収益化はOK
ネットトピック
2021-04-28 01:24
2030年以降も生き残る組織とは? 誰もがテクノロジーでワクワクできる仕組みを
IT関連
2023-05-23 10:42