The Doppler Quarterly (日本語) 夏 2016 - Page 74

自分自身の意識とスタッフの考 え方を変えるのは容易ではあり ません。 新しいモデルでは、インフラストラクチャはコード化され、 アーキテクチャーは水平方向に拡張できるように構築され ます。また、ハードウェアはコモディティとして扱われ、あ まり意味を持たなくなると思われます。クラウドでの設計は、 どのハードウェアにも依存せず、コンピュートノードが停止 して新しいノードが立ち上がったときに、自動的にリカバリ できるソフトウェアを構築することを意味し、これは多くの 場合に、イミュータブルインフラストラクチャと呼ばれます。 これは、アーキテクトと開発者によるソフトウェア開発の 方法を大きく変えるだけでなく、アプリケーションの監視、 管理、保護、および監査方法により一層の変化をもたらし ます。テクノロジーだけに重点を置いて、こうした変化の政 治的側面や社会的側面を無視すると、大きな問題が生じ ますが、イミュータブルインフラストラクチャと分散アーキ テクチャーに移行すれば、従来の組織の構造と責任が大 きく変化します。 制御とアジリティ 厳しい規制がある企業は、セキュリティ脅威やセキュリティ 脆弱性のリスクから自社を守るために、非常に厳格な制御 機能を頻繁に展開していますが、こうした機能の多くは、 SDLC を大幅に遅らせる一連のプロセスの中で、手動で実 装されているケースが少なくありません。3 か月~ 6 か月に 1 回のペースでデリバリを行う場合、開発者はこうした制約 の中でも作業を行うことができますが、頻繁なリリースが 求められる新たな環境では、このような制御機能の実装を 見直す必要があります。 セキュリティ担当者やコンプライアンス担当者は、この最 後の一文に悲鳴を上げていることと思いますが、誤解のな いように言うと、私が疑問を持っているのは、企業が現在 展開している制御機能やポリシーを必要としている理由で はなく、それらの制御機能をどのように実装したのかという 点です。制御機能やポリシーの実装では、セキュリティと コンプライアンスの関係者だけが考慮されているケースが 非常に多く見られるものの、頻繁なリリースが求められる 新たな環境では、主要関係者として開発者も考慮に入れな ければなりません。 制御とアジリティにはバランスが必要ですが、企業は思い 切ってセキュリティとアジリティを求めれば、その両方を確 72 | THE DOPPLER | 2016年夏号 保することができます。たとえば、多くの企業はすべてのア プリケーションに関して手動でセキュリティレビューを行っ ていますが、その回数を年に数回にすれば、この手法はう まくいきます。一方、複数のアプリケーションチームが月に 何回もレビューを行うと、うまくいかないだけでなく、その 規模を広げられません。また、成熟したクラウド環境では、 このようなレビューを手動で行うのに十分な数のスタッフを 雇うことはできないでしょう。 しかし、このような問題は自動化と委託によって解決され ます。多くのセキュリティ制御機能は、基盤となるインフラ ストラクチャのブループリントに織り込むことができ、これ まで手動によるレビューが必要だったセキュリティ制御機 能の多くは、開発者がセキュリティを強化した承認済みの イメージを使用するときに、すでに展開されています。ビ ルドプロセスでは、セキュリティエキスパートがポリシーを 適用して潜在的なセキュリティホールを特定できるよう、セ キュリティコードスキャンを実行しなければならず、スキャン スコアが定められたセキュリティの基準を満たすレベルに 達していなければ、ビルドの構成が失敗する可能性があり ます。ただしこれは、手動によるレビュー作業を排除する 機会にもなります。 テクノロジーの観点 bz)8l8 yk(z!/dkggn.8j(ycf8i¸fxc8 xxxj8x8ਸxke/ !xjdkਸ¸x8xहcdyaix8i࠸xakkky$ik`ࢸof 8888j8x੸x88¸88हb8h8dxik/exk#dl࠸`ࢸof H8i8k8h8dxह/o*8eia8gࢸ xx88k)y`johiસ¸8y*8j`n9eg88सx੸xi/o*8eia8gࢸja8hgx8xc:ggn.8ji&c)x8ofxc8 xdaeg88ki&ck xxx8ਸ੸x8ki%`888x88xBx8xx."ik(c8icx*+z*"8jkjhibxf xxੂxi/o*8fx/y`)8c8`oࢸja8ab8 yi&ckh-9d"8j x8j8x੸xहlyd"8fxkjoz)xj8j/fz*"8j/g9kxहl9i&c'f8exfi8ऺ`aynexfofx x੸xn8k(c8j`gࢸ y/ ykxkd8oij`n9eicBg88ऺ)8e yaj9dxc9/oa88fxa8j9'xhia888¸ikjc ykybxj :`jxj88ह쯺`n8fxoz)xc8`ࢸofx og xddik࠸a H8i8k*hc8j8ei y)b8lx8jkfxc))kd$y."ह`xen !xkh8c8d8oij¸jcj8ohia8j8a8axc9&xdx8ofxc8 zen !xc8 Bkybxहbyc%fx88ikjc xસ888c9/oa8fxa8j9'f8ia888k/o*8हo-a8x8ix8xc8`oࢸj࠹i&c)x8ofx ddi࠸ xx88kechc8k'f8ofc8 xxxk#+f8j: b9xहi"xb8kkky$ik`ࢸof