攻撃のベクトル・脅威・リスクを、ガイダンス・コントロール・ポリシーへと接続する
Knight氏が提示する解決の方向性は、セキュリティとGRCを一体化したシステムとして扱うことだ。コンプライアンスが見るべき対象は、攻撃のベクトル・脅威・リスクをそれぞれガイダンス・コントロール・ポリシーへと接続する構造として整理でき、これはKnight氏自身が携わるOpenSSFの「Gemara」プロジェクトのモデルにも反映されている。
SAST（静的アプリケーションセキュリティテスト）やSCA（ソフトウェア構成分析）、ランタイムスキャナーを個別に運用するのではなく、GRCの知見をもとに1つのシステムとして接続すれば、ポリシーが仕様駆動の設計・評価・監査へと循環し、監査結果がポリシーの改善に、ポリシーの改善がセキュリティスキャンの精度向上へとつながっていく。
この構造を支えるのが標準化だ。Knight氏はアメリカの鉄道史を例に挙げる。かつて軌間がバラバラだったために都市間の接続で6インチもの差異が問題になったが、時間をかけて単一規格へと標準化された。「日本ではタンカー車両、地下鉄などがシームレスに稼働している。地下鉄がタンカー車両の隣に停まったとき、私は衝撃を受けた」と語り、セキュリティとコンプライアンスの領域ではまだそれができていないと指摘する。
標準化されたツールはロックダウンでき、決定論的な仕組みがあれば、AIに毎回10万トークンをかけてWeb検索させる代わりに、標準化されたスキャナーを使わせればよい。Knight氏はこれを、AIをどこに関与させるかを制限する「Zero Token Architecture」と呼ぶ。CNCFのTAG Securityガイダンスや、FINOS・OpenSSFエコシステムの具体的でテスト可能な要件を土台に、AIに「何を保護すべきか」をゼロから尋ねるのではなく、既存の調査結果を使ってポリシー作成を手伝わせるという発想だ。
Knight氏はデモとして、CNCFやOpenSSFの推奨事項・要件を同じ機械可読なデータストアに読み込み、アーキテクトが構築時にそのデータストアへ接続し、測定段階では同じデータストアからスコアカードとベースラインの結果を集約するダッシュボードを示した。裏側ではNISTのOSCAL仕様のもとに複数のオープンソースプロジェクトが標準化されており、利用者はその複雑な相互作用を意識する必要がない。「電車に乗るのと同じで、鉄道エコシステムを構築するための苦労を感じることはない。ただスムーズな乗り心地があるだけだ」とKnight氏は表現する。
LFX Insightsから取得した、Linux Foundationが監視する2万7000件のリポジトリのデータでは、チェック項目のうち3つについて、コードの改善が必要なのか、要件そのものを見直す必要があるのかが見えてきたという。
最後にKnight氏は3つの提言をまとめた。第一に、ガバナンスとセキュリティのワークフローを、NISTのOSCALのような機械可読な仕様で標準化すること。第二に、繰り返しのタスクをLLMのループに任せきりにせず、決定論的なツール群を構築すること。Knight氏が携わるPrivateerプロジェクトも、この考え方のもとでOpen Source Security Foundationに持ち込まれ、CNCFやFINOS内の多くのスキャンに使われている。第三に、これらのツールをあらゆる場所で使い、攻撃者が足がかりを確立しつつあることを前提にベストプラクティスを適用し、デプロイされるすべてのものに対してゼロトラスト・ゼロトークンの原則を徹底することだ。
「その場しのぎでLLMにやらせるのではなく、事前に準備をしておき、システムを安全に保ってほしい」という言葉で、Knight氏はセッションを締めくくった。
