ソフトウェアサプライチェーンを守る3つの実証済みステップ

コンピュータコードは、スマートフォンからロボット、それらを接続するネットワークまで、あらゆるテクノロジーの基盤です。今日のデジタル世界では、それはまた、多く——あるいはほとんど——のビジネスとサービスの基盤の一部でもあります。

ハッカーはこの事実を認識し、悪用します。最近の注目すべき例は、SolarWindsソフトウェアへの複数のトロイの木馬化されたアップデートを用いたFireEyeへの攻撃です。ソフトウェアプロバイダーを標的とすることで、ハッカーはそれらの企業からサービスを受ける政府機関という本来の標的へ、バックドアをインストールして到達できました。

この攻撃手法は信頼も悪用します。ビジネス、政府、その他の顧客は、ソフトウェアやファームウェアのアップデートがベンダーから来たものなら安全にインストールできると想定します。一部は「信頼するが検証する」姿勢で、ベンダーのウェブサイトでアップデートのハッシュ値を確認し、ダウンロードと比較します。一致すれば脆弱性がないと判断します。

この信頼が、開発プロセス中にソースコードを操作できる悪意あるアクターに機会を与えます。その結果、ユーザーは知らずにエクスプロイトをダウンロードし、それが数週間から数ヶ月静かに組織全体に広がり、最終的にパートナー、サプライヤー、顧客の名簿を攻撃します。組織はどう身を守れるでしょうか？

悪意あるアクターを排除する

サプライチェーンリスク管理（SCRM）プログラムは、サードパーティ製品とサービスの採用と統合に固有の脅威と脆弱性を軽減するために不可欠です。これは人、プロセス、テクノロジーをカバーし、セキュリティ、IT、人事（HR）、調達、法務など複数部門にまたがります。特に、企業のSCRMプログラムをソフトウェア開発ライフサイクル（SDLC）に拡大することが重要です。このプロセスで、SCRMプログラムは全員が参加し同じ目標に向かうセキュリティ文化を創出します。

SDLC内で、SCRMプログラムはコードとツールセットなどの関連リソースに触れる必要のある人に焦点を当てます。理解できる通り、これらの従業員は採用プロセスで徹底的に審査されるべきで、犯罪活動や国家への潜在的なつながりを特定するためのバックグラウンドチェックが含まれます。

人材派遣会社を利用する企業は、その会社が自社の独自の具体的要件を理解していることを確認する必要があります。例えば、国家主導のサイバー犯罪の歴史がある国に人材派遣会社の拠点があるかどうかを知るべきです。独自および機密情報を扱う際、人材派遣会社のリモートオフィスが潜在的なインサイダー脅威の要員となる履歴書や候補者を送り込まないよう確保すべきです。国家レベルの攻撃者は、自分の人員を標的組織に送り込むことにますます注力しています。彼らは財務リソースを持ち、人気のあるコーディングスキルや他の求められる資格を示すよう人々を訓練し、それらの履歴書を山のトップに押し上げます。これは人事チームと採用マネージャーが認識しておくべきことです。

最も慎重なスクリーニングと採用プロセスでも、一部の悪意あるアクターがすり抜ける可能性があります。だからこそ、明確に定義されたインサイダースレットプログラムを通じて従業員活動を監視し、不正な特権昇格やシステム、プログラム、アプリケーションへのアクセスなど、異常で疑わしい行動を特定することが重要です。

SCRMプログラムはまた、コードとツールセットなどの関連リソースに触れる必要のある人を特定し、それ以外のすべての人からそれらを遠ざけるセーフガードを実装すべきです。コードがライセンスされたら、それは認可された開発者の唯一の情報源でなければなりません——つまり、彼らは外部ソースから追加のコードを持ち込めません。本質的に、コードが一度評価され管理されたら、セキュリティリスクについてまだ評価されていない新しいソースからコードを取得することを開発者に許可したくないのです。このベストプラクティスは、認可された開発者が無意識に使用した非認可コードに埋め込まれたバックドアや、非認可ユーザーによって隠された未文書化ポータルといった脆弱性を軽減します。

精査と管理

テクノロジーを厳格に管理することは、もう一つの保護層を提供します。例えば、従業員が組織内で異動する場合でも、新しい役割と部門専用に作成されたイメージを持つ新しいノートPCを提供することを検討すべきです。また、もはや不要な以前のアクセスを無効化します。これによりデータとアクセスが特権的に保たれます。

IT部門はまた、開発者に支給する前にブランドニューコンピュータを再イメージングすべきです。ベンダー提供のストックイメージを使うと、OSとプリインストールされた不要ソフトウェアに侵害されたコードがあればバックドアを作る可能性があります。代わりに、それらのデバイス用のカスタムで硬化したイメージを作成します。

すべての新タイプのハードウェアとソフトウェアは、一定期間サンドボックス化して最初に隔離すべきです。これによりIT部門は、インターネットへの無断コールでデータを引き出そうとするなどの振る舞いを精査する時間を得られます。また、数ヶ月または数年後に振る舞いの突然の変化を検知し、侵害された可能性を示すベースラインも作れます。

セキュリティ文化の創出

考慮すべきことは多岐にわたり、これがSCRMが横断的な組織的取り組みでなければならない理由を浮き彫りにします。例えば、法務部門はベンダーとパートナー契約に、すべての要件が遵守されることを保証する監査に関する条項を含めるべきです。一方、人事は候補者スクリーニングのルール策定と施行を支援できます。

Cレベルの賛同とリーダーシップが、この種のチーム努力を達成し、SCRMプログラム実装に必要なリソースを確保する鍵です。これにより組織全体にわたるセキュリティ文化が生まれ、セキュリティを事後対応から開発プロセスの根本的な部分へと変革します。

Michael Iwanoff氏はiconectivの最高情報セキュリティ責任者。