先日のブログ記事で、情報セキュリティに関する製品戦略の専門家であるKelly Shortridge氏が、セキュリティを製品として扱うべき理由についての考察を公開した。概念としてゲーム理論とモラルハザードを用いることによって、氏は、DevOpsと情報セキュリティとの関連性を検証し、その関係を競合的ではなく相互補完的として見た場合、両者は同じ目標を持った協力ゲームである、という主張を展開している。
DevOpsのパイプラインとその開発や運用への影響について多くの人たちが語っているが、影響範囲はそれだけではない。例えば、適切な人材採用、適切な販売活動、成果に対するユーザからのフィードバックを得るためのマーケティング、といったものもある。IDCによると、DevOpsSecOpsは2024年までに、アジア太平洋地域における新たなアプリケーションの少なくとも50パーセントを運用するようになる、と予測されている。
このような背景から、結果として必要となるコストを考慮しつつ、組織と製品のライフタイム全般にわたる基盤としてセキュリティを考える必要がある。開発チームやセキュリティチームの役割と責任がDevSecOpsによって変化する中で、チームのアイデンティティを確立するためには、明確な共通目標を作り上げることが必要だ、とShortridge氏は強調する。
"we thinking"の考え方を強調するShortridge氏は、計画的に連携を促進するためのより正確な理論的枠組としてのチーム思考に言及する。明確な共通目標を作り上げ、その成果を公開することによって、チーム思考は、この協力ゲームにおける成功の基盤を構築する。さらに氏は、結果の説明責任とプロセスの説明責任を比較した上で、集合的知識と適応的専門知識を促進する手段として、そのハイブリッドを提案する。Spnatypeが実施した2020 DevOps Community Surveyでは、幸福な開発者はセキュリティに注意を払う可能性が3.6倍高い、という結果が出ている。
目標のコミュニケーション構造に目を向けることが重要だ、とShortridge氏は言う。この中には、目標の対立的な性質と自己肯定、価値感の内省などを強調するメッセージが含まれている。目標の順序付けも重要な役割を持つ。それには目標に関する客観的情報に注目し、その重要性をそれぞれの目標に収容することが必要だ。完成度の高いDecOpsプラクティスを備えた組織は、保有するセキュリティ関連ツールの数も多く、しかもそれらがすべての環境により統合されている。
情報セキュリティとDevOpsと連立を形成するべきである。氏の調査した中では、DevOpsとInfoSecが相互に関連すべき方法について、ドキュメント化あるいはコード化した企業は一社も存在しなかった。
ゲームの理論に関する概念としてShortridge氏は、DevOpsとInfoSecについて、情報の非対称性を備えたコーディネーションゲームである、と表現している。情報は戦略的相互作用の中心である。相互作用の両側に独自の知識が存在する時、そこに情報の非対称性が生まれる。2チームによるこのようなアライアンスを形成する上で、組織は、コーディネーションの外部的な執行者として振る舞うことができる。
コーディネーションが失敗する理由として氏が指摘するのは、チームの目的に曖昧な部分があるために、チーム間で軋轢が生まれることだ。これに対処するには、優先度を合わせるためのサポートが必要だ。これが共同作業によって共有される恩恵を拡大する。
人はそもそも相互協力的な存在であるという事実に基づいて、Shortridge氏はさらに、モラルハザードへと論を展開する。モラルハザードにおいては、個人個人がリスクから保護されており、自身の行動結果を負担に感じる必要がないので、リスクを取ることが可能になる。氏は保険のアナロジを使って、ほとんどの組織において、チーム構造に起因するモラルハザードの可能性があることを説明してみせた。例えば、セキュリティに関する責任を負わないDevOpsは、セキュリティ関連のリスクにさらされる可能性が高くなるのだが、チームメイトのワークフローにリスクを加えるようなポリシの作成やツールの実装を行うInfoSecもまた、リスクの率を高くする。
モラルハザードに関わるものを調査したShortridge氏は、相反する目標について説明した。ひとつの目標の達成が別の目標の達成を妨げたり、障害となる場合にそれが起こる。相反する目標を持った場合の個人は、潜在的な目標を重視して、自分自身よりも相手に重きをおいた意思決定を行えば、リスクを抑えることが可能になる。
相反する目標の原因として氏は、複数の目標を持つことの問題を強調した。目標を順次あるいは並列的に達成することはメリットとデメリットがあるので、InfoSecとDevOps両方に有用なソリューションを評価するように進める必要がある。