マネージド・サービス・プロバイダーとの連携によるアプリケーション・セキュリティ・プログラムのスケーリングと成熟化

セキュリティ専門家の雇用・維持は困難かつ高コスト

企業は、マルウェア、脅威の軽減、暗号化やフォレンジック、さらに、業界固有の知識、クラウド、モバイルセキュリティ、高度な分析やネットワーク仮想化などの幅広いスキルを求める傾向がありますが、それは一人の専門家に求めるには過大な要求です。さらに仕事に必要なソフトスキル（コミュニケーション、管理、報告の能力など）が採用条件のリストに加わるとなると、人材探しはネス湖の怪獣を探すようなものと言えるかもしれません。

人材不足によってサイバーセキュリティ専門家の報酬が急騰したため、幻のような人材がたとえ見つかったとしても、コストは高くつきます。給与、福利厚生、間接費、さらに新しいセキュリティ専門家が仕事に精通するためのトレーニングにかかるコストを合計すると、特殊なスキルセットに対してかなりの投資が必要になることは明らかです。

希少価値の高いセキュリティ人材の補充にはさらに多くの時間がかかる

この貴重な人材が、より高い報酬と充実した福利厚生に惹かれて他社に転職するリスクもあります。CyberSeekが報告した新しいデータによると、サイバーセキュリティの人員補充には、他のIT系職種の場合と比べて21%長い時間がかかります。

高度なスキルを持つ少数精鋭の内部チームに依存していると、その人材が転職する際に組織のアプリケーションセキュリティに関する知識や情報を失ってしまうことにもなりかねません。これに対し、社内の戦略チームがアウトソーシングによってマネージドサービス・パートナーと協力している場合、その知識は委託先ベンダーの組織内で体系化されているため、失われることはありません。

マネージドサービス・パートナーの利点

社内でアプリケーションセキュリティの専門家の少数精鋭チームを確保するのも賢明な方法ですが、アウトソーシングにはキャパシティを増やしてより多くのテストを行うことができるという大きな利点があります。テストを増やすことで、ポートフォリオのカバレッジが拡大し、経験豊富なベンダーと提携することによって予算を有効活用できます。

テストの網羅性と詳細度を高める

アプリケーション・セキュリティ・テスト・ベンダーにアウトソーシングすることで、キャパシティが増加するとともに、テストサービスのカバレッジと詳細度を高め、組織にスキルを取り入れることができます。

幅広いサービスにより、従来の自動化された動的アプリケーション・セキュリティ・テスト（DAST）からビジネスロジック・ベースのペネトレーションテストや静的アプリケーション・セキュリティ・テスト（SAST）へと速やかに展開し、モバイルなども含めてプラットフォームの範囲を拡大できます。

深度を用いることで、アプリケーションのリスクプロファイルに基づいてテストをより適切に調整できるため、予算をより細かく管理できます。社内のソフトウェア・セキュリティ・プログラムの戦術的なテスト要素の管理をマネージドサービス・パートナーに委託することで、社内チームは戦略が適切に実行されていることを確認でき、開発チームとより緊密に連携できるという利点もあります。

優先順位付けと調整による能力向上

さらに、データを方針と戦略の決定に援用する必要があります。マネージドサービス・パートナーが委託されたテストを開始した後、社内チームは検出された脆弱性を継続的に調査し、その結果に応じてプログラムを進化させることができます。アプリケーション・セキュリティ・テストの拡張により、社内チームは結果を監視し、条件に基づいて優先順位を付け、脆弱性管理に効果的に対処することができます。

また、社内チームが解放されることで、組織のSSIをどのように成熟させていくかを決定し、開発チームに優れたコーディングプラクティスを説明し、ソフトウェアセキュリティのトレーニングとポリシーを調整するなど、ソフトウェアセキュリティ対策の一環として他の社内ステークホルダーを指導することも可能になります。

これまでご紹介したように、マネージドサービスは、一連のアプリケーションをテストするだけでなく、組織にはるかに広範な影響をもたらします。