セキュリティカオスエンジニアリング

第9章. 野生のセキュリティ・カオス・エンジニアリング

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

SCEを提唱し、オープンソースや他のコミュニティイニシアティブを通じて実験を開発しているセキュリティ実務者や組織のコミュニティが拡大している。この章では、セキュリティプログラムの実践としてセキュリティカオス実験を成功裏に実装した組織の体験談をいくつか紹介する。

体験レポート：混沌の中に秩序が存在する（ユナイテッドヘルス・グループ）

著者：アーロン・リネハート

"大きなことには小さな始まりがある"

T.E・ローレンス

ユナイテッドヘルス・グループ（UHG）とその技術サービス部門であるオプタム（Optum）は、世界中で8500万人以上の患者にヘルスケア商品と保険サービスを提供しており、米国最大の医療保険会社である。

2023年2月1日現在、UHGは2022年フォーチュン・グローバル500で¹¹位にランクされ、時価総額は4007億ドルである。同社は現在、売上高では世界最大のヘルスケア企業であり、正味保険料では世界最大の保険会社である。

同社のチーフ・セキュリティ・アーキテクトを務めていた2018年、UHGは380以上の事業体を抱え、グローバルに事業を展開し、年間売上高は2,010億ドル、世界中で27万人以上の従業員を雇用していた。

当時、当組織が直面した最も顕著で困難な課題は、セキュリティアーキテ クチャレビューを実施する際の不完全な技術文書であった。私たちは純粋に適切なセキュリティ勧告を提供したいと望んでいたが、インプットがどの程度正確であるかはわからなかった。システムの描写が稚拙であったため、結果として稚拙なアウトプット以外のものを提供することが極めて困難であった。さらに、セキュリティ設計ガイダンスが提供されても、それが正しく実装されているか、or 演算子として有効であるかを理解するためのフィードバックメカニズムがなかった。

当初、私たちが解決しようとしていた主なニーズは、デプロイ後のオペレーティング・セキュリティの状態について、システムに基本的な質問を直接投げかける方法を作成することだった。セキュリティコントロールの検証は、カオスエンジニアリングをUHGで作成したSCEツールであるChaoSlingrでセキュリティに適用する背景にある当初の問題設定であった。それは、システムセキュリティの弱点を前面に出すために、AWSインフラ上で実験を行うことに主眼を置いていた。

ChaoSlingrに取り組み始めた当初、セキュリティ・エンジニアリングのライフサイクルを通じていくつかの課題を経験していた。当社は、技術スタックとプロセスの近代化を通じて、顧客価値と患者体験の向上を構築し提供する方法の変革に向けた長い旅を始めた。

ホスピタリティ、機関銀行、航空会社、保険、ヘルスケアなどいくつかの主要産業は、1970年代から80年代に構築されたレガシー・メインフレーム・システムにいまだに大きく依存している。同社が成功するには、メインフレームをデジタルに変革し、その過程でメインフレームの驚異的なパワーを拡張する方法を見つけ出す必要があった。同社は、アジャイルソフトウェアデリバリ、DevOps、継続的インテグレーション、継続的デリバリーといった新技術やプラクティスを急速に採用し、パブリッククラウドへの長く困難な巡礼を始めた。

ChaoSlingrプロジェクトをスタートさせたきっかけは、AWSパブリッククラウドへの移行だった。企業として、これは技術的なスキルだけでなく、考え方の転換を必要とした。UHGで進行中の技術的ディアスポラを通じて、サイバーセキュリティ組織が抱えていた多くの懸念の1つは、顧客のヘルスケアワークロードを安全に提供するための適切な知識、ツール、スキルがあるかどうかということだった。ChaoSlingrはこの不安から生まれた。私たちは、パブリッククラウドで構築しているセキュリティが、私たちのニーズを満たすか、それ以上のものであるかを積極的に検証する必要があると考えた。 ...