製造業でこそ「シフトレフト」が重要になる理由：武田一城の「製品セキュリティ」進化論（10）（2/2 ページ）

[武田一城，MONOist]

製造業のシフトレフトで考えるべきこと

　製造業でのシフトレフトは、単純に「セキュリティテストを前倒しする」ということで済むほど単純な話ではない。重要なのは、製品開発の各段階で、「この時点で何を確認すれば、後工程の大きな手戻りを防げるか」を想定することだ。

　例えば、製品企画／要件定義においては、「どの資産を守るのか」「誰が製品を操作するのか」「どのような通信を行うのか」などを整理する必要がある。同じく、システム設計においては、攻撃される可能性がある箇所を洗い出し、認証や権限、通信、暗号化などの設計を決める必要があるのだ。

　それらを想定した上で、ソフトウェア／ハードウェア設計において、セキュアブート、鍵管理、更新機能、デバッグ機能など、製品固有のセキュリティ機能を検討する必要がある。実装においては、セキュアコーディングやコードレビュー、自動解析などを活用して問題を早期に発見する必要がある。

　そして、ここで重要になるのが、実際に動作する製品や通信インタフェースのテストだ。もちろんどのメーカーでも実施するものだが、テスト精度が甘いと、質の悪い製品が市場に出回ってしまう。これを精緻に実施できるかが、製品の品質に重要な影響を与える。そして、それらのプロセスを経た出荷後には脆弱（ぜいじゃく）性情報を収集し、必要に応じてアップデートや対策を行う。

　このように、シフトレフトは特定のツールを導入する話ではなく、製品開発プロセスそのものにセキュリティを組み込む取り組みなのだ。

　シフトレフトを実施するに当たり、もっと具体的なメリットが知りたいという読者の方もいらっしゃると思う。そこで、シフトレフトの実施メリットを以下に示した。すでに記述した内容も一部含まれているが、読者の皆さまにシフトレフトの全体像を理解していただきたいという観点でまとめてみた。

1．開発コストを抑えやすい

　設計段階で見つけた問題と、出荷後に見つけた問題では、対応の影響が大きく異なる。早期に問題を見つければ、その時点で設計やコードを修正することが可能だ。一方、出荷後に問題が見つかると、製品のアップデートだけでなく、原因調査、品質確認、顧客対応、場合によっては現地対応などが必要になる可能性がある。シフトレフトによって問題を早く見つけることは、こうした後工程の負担を抑えることにつながる。

2．開発スケジュールを安定させやすい

　製品出荷直前に重大なセキュリティ問題が発見されると、生産や出荷のスケジュールにも影響する。また、早い段階からセキュリティを確認しておけば、重大な問題を後工程まで持ち越すリスクを抑えることも可能となり、開発スケジュールの安定につながる。

3．製品品質を向上させやすい

　セキュリティは、今や製品の「付加機能」ではなくなっている。通信、認証、更新、データ保護など、製品を安全に利用できることは、もはや品質の一部になっている。設計段階からセキュリティを考えることで、問題を後から追加対応するのではなく、製品そのものに「セキュリティ機能」や「セキュアな構造」を組み込める。セキュリティはすでに品質の一部であり、セキュリティを向上させることは品質を向上させることに等しいのだ。

4．開発組織にセキュリティの知識を蓄積できる

　従来、セキュリティは専門部署だけが担当するものと考えられていた。しかし、シフトレフトでは、製品開発に関わる設計者やソフトウェア開発者も、一定のセキュリティ知識を身に付ける必要がある。これは短期的には教育やプロセス整備の負担になるものの、中長期的には、同じ問題を繰り返し作り込まないための組織的な蓄積につながる。

製造業におけるシフトレフトの本質

　製造業でシフトレフトを考える上で重要なのは、「セキュリティ部門が最後に検査する」のではなく、「製品開発に関わる人が、早い段階からセキュリティを考える」という発想だろう。

　これは、「製品企画」「設計」「組み込みソフトウェア」「ハードウェア」「品質保証」「製造」「保守」「セキュリティ」など、複数の部門が関わる製造業だからこそ重要なポイントとなる。

　シフトレフトの目的は、開発工程にセキュリティチェックを増やして開発を遅くすることではない。できるだけ早く問題を見つけることで、後から発生する大きな手戻りを減らし、安全な製品をより効率的に開発する。このことが、「製造業でこそシフトレフトが重要になる理由」なのだ。

著者プロフィール

武田一城（たけだ かずしろ）　株式会社ベリサーブ

1974年千葉県生まれ。セキュリティ分野のマーケティングスペシャリスト。次世代ファイアウォールをはじめ、さまざまな新規事業の立ち上げに従事。セキュリティに限らず、IT全般の動向にも詳しく、インターネットや書籍の執筆実績が多数あり。NPO法人日本PostgreSQLユーザ会理事。日本ネットワークセキュリティ協会（JNSA）のワーキンググループや情報処理推進機構（IPA）の委員会活動、各種シンポジウムや研究会、勉強会での講演をはじめ製品セキュリティの啓発に向け精力的に活動している。