53社は、何に悩んでいたか——公開されている事例からの考察

Aikidoが公開している導入事例、53社分を読んだ。

事例から、今、顧客が何に悩んでいるのかを考察してみる。一部のデータであることは理解している。しかし、ここには日頃目にする顧客の課題が浮き彫りになるように思う。

以下の表は、全事例から顧客の課題をまとめたものだ。

（1社が複数に該当するため、延べ数）

ここから見えてくるもの

ここから見えてくる、現在の課題を紐解きたい。

この53社から言えるのは、ソフトウェア資産が増えたこと、開発の速度が上がったこと、そして検出結果を処理しきれなくなったこと、この三つだ。私は、その背景にはAIを活用した攻撃の増加と、それに追いつかない運用負荷の拡大があると考えている。

上位4つは、別々の課題ではない。 検出件数が増えれば、人が確認する件数も増える（14社）。資産が増えれば、一人が抱える範囲が広がる（9社）。抱えきれないので、機能ごとに道具を足す。足した道具は、結果を別々に返す（8社）。そうして手元に届いた頃には、直すところまで力が残っていない（8社）。一本の連鎖が、組織の場所ごとに違う顔で現れているだけだ。

次の2つは、道具の性能では解けない。 子会社と地域の壁（6社）は横方向の分断で、開発者に迂回されること（6社）は縦方向の分断だ。どれだけ精度の高い検出をしても、使う人に届かなければ数字は動かない。ここから先は組織の問題になる。

7番目が課題として現れていること自体が、事態を表している。 導入や展開のしやすさは、本来なら前提条件であって、課題ではない。それが選定の決め手として繰り返し語られるのは、待てないほど切迫しているからだ。45分、15分という数字が売り文句として成立すること自体が、我慢の限界がどこにあったかを示している。

そして、下の2つが少ないことに意味がある。 攻撃検証（5社）は「守れているかを確かめる」課題で、コンプライアンス（4社）は「守れていたと証明する」課題だ。どちらも、検出と修正が回っていて初めて出てくる。この2つが少数派だということは、多くの組織がまだ入口で足踏みしていて、確認や証明の段階まで到達していないということになる。9つの課題の並びは、そのまま成熟度の階段になっている。

もう一つ、移行元の内訳が同じことを裏づけている。最多はOSSツールの寄せ集めで12社。特定の商用ツールからの乗り換えではない。自前で組んで回していたものが、量に耐えられなくなった会社が最大の母集団だった。

本当のボトルネック

この53社に共通していたのは、「脆弱性が見つからない」ではなかった。

見つかっても、人が処理しきれない。

そこが、今のアプリケーションセキュリティの本当のボトルネックなのだ。

セキュリティの問題というより、「回る仕組み」をどう作るかという問題になってきている。