セキュア・バイ・デフォルトが求められるようになった背景には、現状のセキュリティ対策の問題点があります。

現在、多くのソフトウェアやハードウェアは、セキュリティが不十分な状態で出荷やサービス提供されています。そのため購入したユーザーは、自身でセキュリティ設定や個別の対策を行わなくてはならず、大きな負担となっていました。

複雑なセキュリティ設定はミスを招き、脆弱性が残ることも少なくありません。また、十分なセキュリティの知識を持たないユーザーは、設定の重要性を把握できずに危険な初期状態のまま利用するリスクもあります。

このようなセキュリティ対策をユーザーに委ねることの問題を解決するために生まれた概念が、セキュア・バイ・デフォルトです。初期状態から安全性を確保することで、設定ミスや知識不足によるセキュリティリスクを最小限に抑えることが可能になります。

セキュア・バイ・デフォルトと合わせて語られることの多い用語に「セキュア・バイ・デザイン」があります。

セキュア・バイ・デザインは、ソフトウェアやシステムの設計段階からセキュリティを考慮し、潜在的なリスクを最小限に抑えるように構築するアプローチのことです。

両者は補完的な関係にあり、セキュリティ強化には両方のアプローチが必要です。セキュア・バイ・デザインによって設計段階からシステム全体のセキュリティが強化され、実装段階ではセキュア・バイ・デフォルトの設定を適用することで、ユーザーや管理者の設定ミスを防ぐのです。

2023年10月に、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が、日本のNISC、JPCERT/CCを含む各国の17機関と共同で、セキュア・バイ・デザインとセキュア・バイ・デフォルトの実践に向けた推奨事項をまとめたガイダンス「Secure-by-Design - Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software」を改訂し公表しました。ガイダンスでは開発ベンダーに対して、製品にセキュリティを組み込み、セキュリティ対策の負担をユーザーに委ねないことを促しています。

ガイダンスで提示されている、ソフトウェア開発者に対する推奨事項の3つの基本原則は以下のとおりです。

• 顧客のセキュリティ課題に責任を持つ
• 積極的な透明性と説明責任を果たす
• トップ主導で取り組む

3番目の「トップ主導で取り組む」は、ソフトウェア開発事業者にとってこれが経営上の重要事項であることを示しています。つまり、あらかじめセキュリティ対策を組み込むことにより、脆弱性修正のための保守コスト削減と同時に顧客の信頼度を増す、という点で企業価値の向上につながるメリットがあるということです。

また、3つの原則を実現するためのセキュア・バイ・デフォルトの具体的な実践例としては、以下のようなものが挙げられています。

• デフォルトパスワードの廃止
• 管理権限ユーザーの多要素認証
• シングルサインオン（SSO）の実装
• 追加費用なしでのログ記録機能
• セキュリティ強化(ハードニング)ガイドの簡素化

セキュア・バイ・デフォルトが広がることで、開発ベンダーが責任を持ってセキュリティ対策を組み込む流れになっていくことが予想されます。

ガイドラインでは、開発ベンダーの取り組みだけでなく、ソフトウェアを利用するユーザーに対しても、以下のような推奨事項が提示されています。

• ソフトウェアの調達では、セキュア・バイ・デザインやセキュア・バイ・デフォルトを取り入れた製品を優先的に選定する
• セキュリティ上の結果に対して、開発ベンダーの責任を追及する
• クラウドを利用する場合、透明性の高い企業を選び、責任の境界を明確にする

セキュア・バイ・デフォルトを社会に浸透させ、ユーザーがより安全にソフトウェアを利用できるようにするためには、開発ベンダーとユーザーが積極的に取り組むことが重要です。