Twitterを物色していたら、こんなものを見かけた
📣 We’re excited to present our new 2022 Snyk State of Cloud Security report.
— Snyk (@snyksec) September 13, 2022
Download the free report to learn about complex cloud security risks & challenges that organizations face in 2022. ☁️
https://t.co/DKZ9VXq2Xu
把握していなかったのだけど、セキュリティプラットフォームを提供するsnyk（スニーク）という企業があり、そこが出しているセキュリティレポートということ。
レポートの中身としては、エンジニアやセキュリティの専門家に対してのリサーチを行った結果をまとめたようなものだ
早速ダウンロードして読んでみた。
簡単な登録で読むことが出来るので、興味がある人は手にとっていただければと思う。
クラウドにおけるリスクの代表
開発者目線でクラウドのリスクって何かな？と考えると、やはり情報漏洩だろうな、と思ったらやはりそのあたりだった。
data breach（データ侵害）, data leak（データ漏えい）、Environment intrusion（環境侵入）が多い。
もちろん、クラウドのダウンタイムも34%ということでリスクと言えばリスクだけど結局のところ対応しなければいけないリスクとしてはセキュリティなのだという。
もちろん、これは snyk というセキュリティプラットフォームを提供している企業が出しているレポートなので既定路線ではあるんだろうけど、考えなければ行けない大きなテーマであることには変わりない。
リスクへの対応
本レポートでは、それらセキュリティリスクに対応するためにIaC（infrastructure as code)を大きく取り上げている。
IaCはどちらかというと環境構築においての効率化的な側面のほうが開発者から見た場合には大きい。
初期の環境構築ではIaCで構築はするものの、実際に動かしていく中での追加変更は、クラウドコンソール上で設定変更していくスタイルだ。
レポートでは、それではダメなんだと。
問題への対応に関してもIaCを追従させていき、IaCに対してのチェックを行っていく必要性を掲げている。
そして、それに関しては、組織のポリシーに従った形であるかをチェックできるツールを使って監査・検査できるようにしていく必要があると。
更に、ポリシー自体もちゃんとコードで表すべきだと。
When security policies are expressed solely in human language and exist
P.32 ALIGN AND AUTOMATE WITH POLICY AS CODE (PAC) より
in PDF documents, they might as well not exist at all
思わず笑ってしまったのが上記、「ポリシーが人間の言葉でPDFとしておいてあるだけなんて、言ってしまえばなにもないのと同じじゃないか！」
うん、PDFなんて読まないよね。。。
IaCに関して
インフラの構築はだいぶ、コードによって管理できるようになっているのは間違いない。
クラウドの環境構築においてはもちろんのこと、Dockerやk8sなどのコンテナ環境に関しても基本は定義ベースで構築する形になってきている。
一方で、構築した後に手を加えることもよくあって、それは構築時のコードに反映されているだろうか？に関してはできているとは言えない場面もよくある。
特に、簡易的なクラウド構築に関してはなれないIaCでやるよりもクラウドコンソール上から実施したほうが早い気がするんだよね。
ぶっちゃけてしまうと、両方できなければいけないというのが答えになるんだろう。
ただ、その中でもIaCで環境を構築するということに慣れていき、そこに対してのチェックを行うことが出来るくらい知識が付けば、しばらくご飯は食べていけるのだろうと思った。