テクノロジー（セキュリティを含め）に関しては、問題を後回しにしてから修正するよりも、早めに手を打ったほうが費用がかからないことがよくあります。 バグの多いソフトウェアや時代遅れの技術を修正するために必要な、避けられない改善を先延ばしにすることは、「返済する必要がないと思い込んでお金を借りるようなもの」だと、最初のウィキを開発したプログラマーのワード・カニンガム氏は述べています。
カニンガム氏は10年以上前に、「technical debt」という用語を考案し、バグの多い技術を急いで市場に投入することが、借金の利息が積み上がっていくのと同様の仕組みで機能することを説明しました。 元本を返済しなければ、利息が膨れ上がり、やがて予算のすべてを食い尽くしてしまい、 完済できなくなってしまいます。
12人の技術専門家に「技術的負債」の定義を尋ねれば、12通りの答えが返ってくるでしょう。 ソフトウェア開発者にとって、「技術的負債」とは、おそらくコードをリリースするために手抜きをすることのような意味合いを持つのでしょう。 一方、CIOは、技術的負債を、古いツールが蓄積した影響と捉え、それが組織が従業員、パートナー、顧客に対して最新のデジタル機能やイノベーションを提供する能力を妨げているものと見なすかもしれません。
いずれの場合も、将来の成功に必要な技術的な作業が放置されたまま積み重なると、将来的にコストと複雑さが増大することにつながります。 その結果、IT担当者は、本来もっと早く修正すべきだった問題を解決するために、ますます多くのその場しのぎの対策を講じるようになります。
「私は、技術的負債とは、短期的な目標を達成するために下された決定が、結果として長期的な負担を生み出すものだと考えています」と、 （S&P Global Market Intelligence傘下）の一部門である 451 Researchの主席セキュリティアナリスト、フェルナンド・モンテネグロ氏は述べています。
定義がどうであれ、技術的負債は積み上がっています。 マッキンゼーが、 2020社のに所属する 50 人のCIOを対象に調査を行ったところ、新製品に充てられるはずだった技術予算の10％から 20％が、実際には技術的負債の解消に充てられていたことが判明しました。 実際、技術的負債は、減価償却前の組織の現在の技術投資額の 20％から 40％を占めていました。 調査当時、CIOの 60％が、過去3年間で技術的負債が大幅に増加したと回答しました。
技術的なセキュリティ債務を優先課題とする
ジョナサン・フェルドマン氏は、技術的負債による負担が過度に積み重なることには関心がありません。 ノースカロライナ州アッシュビル市のCIOとして、フェルドマン氏は、同市の情報システムが常に最新の状態を維持できるよう、尽力してまいりました。 例えば、彼はアッシュビルの情報システムを、オンプレミス型ソフトウェアから のクラウド（）へと着実に移行させてきました。
「技術的負債とは、短期的な目標を達成するために下された決定が、長期的な負債を生み出すことから生じるものです。」451 Researchのセキュリティアナリスト、フェルナンド・モンテネグロ氏
IT環境の近代化には、多くの場合、クラウドソフトウェアの導入が伴いますが、同時に、新しい機能を迅速に導入し、変化するビジネス要件に適応できる、プログラミング言語、フレームワーク、開発ツールからなる技術スタックを構築することも意味します。 例として、フェルドマン氏は、パンデミック中にアッシュビル市がクラウドおよびSaaSベースのソフトウェアシステムを活用し、迅速にリモートワークへ移行できた点を挙げています。
「 のVPN（ ）をいじったり、ユーザーのエンドポイントにソフトウェアをインストールしたりする必要はありませんでした」とフェルドマン氏は述べています。「リモート勤務者全員に対応できるよう、VPNコンセントレータを拡張するために数十万ドルもの費用を費やさざるを得なかった自治体を知っています。 セキュリティ業界で、今やクライアントサイドのVPNこそがセキュリティ対策の正しい方法だと考えている人はいるのでしょうか？ 「まったく誰もいません。」
企業が技術的負債を蓄積してしまう理由には、開発プラットフォームの数が多すぎることや、老朽化したレガシーインフラが過剰に存在することなど、さまざまな要因が挙げられます。 熟練した技術スタッフの採用および 定着は、 負担を増大させる要因となります。また、 システム および ソフトウェア の全ライフサイクルにわたる保守費用を予算に組み込まないという短絡的な考え方も、同様に負担を増大させる要因となります。
技術的負債がどのようにして技術的 セキュリティ 負債となるのか
セキュリティに関連する技術的負債が生じる大きな理由の一つは、セキュリティ専門家とその他の技術専門家との間で、技術に対する見方に隔たりがあることです。 「情報セキュリティ担当者は、問題を『どうすればシステムを破ることができるか』という観点から捉えがちです」と、ブロックチェーン・インフラストラクチャ・プラットフォーム「Paxos」のCSOであり、ポッドキャスト『 Tech Debt Burndown』（ ）の共同ホストを務めるニック・セルビー氏は述べています。 「私たちは、攻撃者が外部から内部をどのように見ているかを分析し、封じ込める必要がある脆弱な箇所を見つけ出そうとしています。」
[関連記事：ラテラルムーブメント：サイバー犯罪者がネットワーク内をどのように移動するか、そしてそれを阻止する方法]
それに対して、現代の開発者は「内側から外側へ」という順序で優先順位をつけて取り組みたいと考えている、とセルビー氏は述べています。 彼らは、何を作ろうとしているのか、何が作れないのか、どうすればコードをより迅速にデプロイできるのか、そして何が障害となっているのかについて尋ねてきます。
フェルドマン氏は、10年前の技術には、今日のより柔軟なアプリケーションと比較して、暗号化規格が時代遅れであったり、APIが古かったり、柔軟性に欠けたりする可能性が高いと指摘しています。 「ほとんどの場合、セキュリティを確保するのは本当に厄介なことになるでしょう」と彼は言います。
技術的なセキュリティ債務は、セキュリティ上の潜在的な欠陥を増幅させ、これにより、古くなったアプリケーション、インフラストラクチャ、およびエンドポイントを保護することがより困難になります。 「技術的負債がセキュリティに影響を与えないという例は思い当たりません。というのも、技術的負債はほぼ常に、スループット、スケーラビリティ、耐障害性、および稼働時間に影響を及ぼすからです」とセルビー氏は述べています。
技術的負債によるコストは、しばしば把握するのが難しいものです。 おそらく、それらは、保守が困難なレガシーシステムや、現在のニーズには合っていないものの、置き換えには多額の費用がかかる古いコード、あるいは分析や有効活用ができないサイロ化されたデータの中に存在しているのかもしれません。 セキュリティチームは、システムや情報の機密性、完全性、可用性を確実に確保する能力に限界があることに気づくかもしれません。
どの企業にも技術的負債が存在し、それがセキュリティに多大な影響を及ぼすことを踏まえると、リーダーにはどのような対応が可能でしょうか？ セキュリティの専門家たちは、技術的なセキュリティ債務を管理可能なレベルまで削減することを推奨しています：
早い段階でセキュリティチームを巻き込んでください
「 」として早期に に参画するとは、設計段階において、あるいは新機能の追加や変更によって企業のリスクレベルが変化しうる段階で、新しいシステムやアプリケーションに関与することを意味する場合があります。
「セキュリティの専門家にとっては、設計文書を早く入手できればするほど良いのです」と、Paxos社のセルビー氏は述べています。 彼は、セキュリティエンジニアをエンジニアリングチームに組み込み、初日から一緒に仕事ができるようにすることを推奨しています。 「その先の方で、状況を点検してすべてが問題ないか確認するために、警備員を呼ぶようなことは[ありませんでした]」と彼は言います。 「セキュリティチームは最初からすでに現場にいて、ずっと状況をうまく収めてくれていました。」
借金の返済を優先しましょう
各企業における技術的負債はそれぞれ異なり、それを削減するための最適な方法もそれぞれ異なります。 技術的なセキュリティ債務は、セキュリティ対策に多大な追加の労力を要する、時代遅れのビジネスプラットフォームという形で現れることがあります。 また、企業によっては、 や といったセキュリティツールを過剰に導入したものの、それらを運用するための十分なスキルを持つ専門家が不足している場合もあります。
[関連記事：連邦政府のサイバーセキュリティ：ツールが多すぎるとかえって逆効果になる]
「セキュリティに大きな影響を与えるものの多くは、一見するとセキュリティとは直接関係がないように見えるかもしれません」とセルビー氏は述べています。 「技術的負債を構成するのは、多くの場合、機器の更新や業務に適したツールの導入といった、基礎的な作業です。」 「こうした事柄の多くは、セキュリティに全体としてより大きな影響を及ぼす傾向があります。」
着実に借金の返済を行ってください
組織の規模や成熟度に関わらず、 どの組織も、時間の経過とともに技術的負債が蓄積していきます。 重要なのは、既存の借金を返済するための期間を明確に決めることです。 「何らかの技術基盤を持つ企業であれば、それは当然のことです」とセルビー氏は述べています。
環境の近代化
近代化とは、単に最新かつ最高の技術を、ただ導入するためだけに導入することではありません。 重要なのは、ビジネスのニーズの変化に応じて成長・変化できるほど、十分にアジャイルなエンタープライズ・テクノロジー・スタックを構築することです。
「セキュリティの分野で、今どきクライアントサイドのVPNがセキュリティ対策として適切だと考えている人はいるのでしょうか？」 まったく誰もいません。”ノースカロライナ州アッシュビル市のCIO、ジョナサン・フェルドマン氏
アッシュビルのフェルドマン氏によると、組織が近代化を進めない場合、CIOは事業部門に対し、新機能の導入に向けた大規模な投資はできないと伝えざるを得なくなる可能性があるとのことです。 「一方、最新のプラットフォームであれば、スイッチを切り替えるだけで済む可能性が高いでしょう。」
長期にわたる技術投資の構成
多くの予算要求では、初期のシステム導入費や展開コストのみが検討され、時間の経過とともに技術的負債がどのように発生していくかについては考慮されていません。 “It’s not that we need $5 million and then this application is done in terms of capital investment,” says Feldman. 「必要なのは、アプリケーションのライフサイクルを通じて、四半期ごとに一定額を支出するという組織としての確約です。」
451 Researchのモンテネグロ氏は次のように付け加えています。「導入したシステムについては、いつまでも責任を負わなければなりません。」 組織は、債務への対処だけでなく、システムのライフサイクル全体にわたって適切な管理が行き届かないことで過度な債務を抱えることを回避できるよう、計画を立てるためのリソースを確保しておく必要があります。」
最終的には、組織が技術的負債の解消に踏み切る可能性もありますが、その決定は、セキュリティチームや経営陣がコントロールできるものではないかもしれません。 モンテネグロ氏は、セキュリティ部門の上級幹部に対し、組織が特定の種類の技術的負債を抱えることになると、リスクプロファイルに重大な影響を及ぼす可能性があることを、社内のIT部門のトップ層に伝えるよう助言しています。
「セキュリティ上の欠陥のために製品のリリースを延期せざるを得ないチームからは、クリスマスカードなど届くはずがありません」と彼は言います。 「しかし、この組織は重要な選択を迫られています。」
