なぜコンプライアンスの怠慢が別の形のテクニカルデットであるのか

技術的負債は3つの形態で現れます。今日のニーズに応えられない古い機器、手を抜いたソフトウェアプロジェクト、そして不十分に実施されるか完全に無視されるガバナンスフレームワークです。共通するテーマは何でしょうか？リスクです。

技術的負債

テクニカルデットとは、何かの想定されるパフォーマンスと実際に提供されるものとの間のギャップです。この不一致のために、避けることのできないパフォーマンスの低下があります。テクニカルデットは、時間が経つほど劣化します。不一致が大きくなるにつれて、リスクへのさらなる曝露が増加します。

技術的負債は徐々に蓄積する可能性があります。古くなったハードウェアやオペレーティングシステムは、最終的には製造元のサポートサイクルから外れていきます。技術的負債とは、セキュリティパッチを受け取らないシステムを稼働させることによって、組織がさらしている蓄積されたセキュリティリスクのことです。

時には、合併や買収を通じて技術的負債を引き継ぐことがあります。また、特にソフトウェア開発プロジェクトにおいて、技術的負債を生み出すこともできます。設計や実装の決定は、予算の制約や非現実的な締切のために開発チームに強いられることが多く、その結果、アプリケーションに組み込まれる技術的負債を引き起こし、ローンチ時には完全に形成された状態で存在します。

サイバーセキュリティやデータ保護のポリシーと手順などのITガバナンスフレームワークは、技術的債務を蓄積する可能性があり、最初から技術的債務が組み込まれた状態で作成されることも、両方の問題に悩まされることもあります。

すべての場合において、技術的負債はリスクに直接等しいです。それは問題に対して注意を払う必要があることを示す確実な指標です。

IT機器と技術的負債

すべてのIT機器は維持管理する必要があります。セキュリティパッチはソフトウェアとファームウェアに適用し、オペレーティングシステムは廃止され、サポートが終了するとアップグレードしなければなりません。ハードディスクは予想されるサービス寿命の終わりに、またはエラーが発生する兆候が最初に現れた時に交換する必要があります。対象のハードディスクがRAIDアレイの一部でない場合は、警告サインを待ってはいけません。ドライブが予想される稼働サイクルを達成したときに行動を起こしてください。

最終的には、すべての機器とオペレーティングシステムが時代遅れになります。古いサポートされていない機器を運用することはセキュリティリスクです。それにもかかわらず、商業部門にとっては、彼らにとってまだ問題なく動作しているものを置き換えるのは難しい売り込みになることがあります。さらに、何かがアップグレードおよび置き換えの対象にされる場合でも、実際に置き換えが行われるまでは技術的負債が残ります。

時には、期限切れのオペレーティングシステムや古いハードウェアの使用が、あなたの即時の制御を超えていることがあります。実験室や産業用制御PCは、特にオペレーティングシステムのロックインに陥りやすいです。これは、重要なサードパーティ製ソフトウェアがリリース以来更新されていない場合に発生する可能性があります。そのため、製品が発売された際に現在のオペレーティングシステムを実行せざるを得なくなることがあります。また、ハードウェアに関連する問題である可能性もあります。ソフトウェアが特定の古いインターフェースボードでのみ動作し、そのボードが特定のビンテージのPCハードウェアとしか互換性がない場合、あなたはそのPOCがサポートできるオペレーティングシステムに縛られてしまいます。

老朽化したハードウェアとソフトウェアを完全に入れ替えることは、思っているほど簡単ではありません。それは生産やその他の重要な機械やプロセスを制御している可能性があります。もし今日手に入るものがあなたの生産システムと統合できないなら、古いものをただ捨てるわけにはいきません。

システムが古くなるほど、それを実装した人々が会社を去っている可能性が高くなります。サポートチームには古いシステムに関する深い知識がないかもしれません。しばしば、これらの古いシステムが以前に理解されていたよりも深く相互接続され、埋め込まれていることが発見されます。

開発プロジェクトと技術的負債

非自明な開発プロジェクトには多くの要求がかけられます。アプリケーションが社内利用のためのものであれ、市場に出す製品であれ、ストレスのポイントは似ています。それらのほとんどは、締切、仕様、予算に関するものです。

仕様書は、ソフトウェアが提供すべき機能と内容のリストです。仕様書は単なる長い希望リスト以上でなければなりません。開発、テスト、文書作成に利用できる時間は、利用可能な開発リソースと、彼らが慣れている技術で実現可能な内容を決定します。

過度に楽観的な仕様や短すぎる開発期間は、同じことになります。作業は利用可能な時間に収まりません。このことが開発チームに与える影響は深刻です。もし彼らがプレッシャーの下にあるなら、知られた技術、方法論、そして技術が新しいプラットフォームやフレームワーク、その他に評価するための時間をかけることよりも優先されることになるでしょう。

締め切りに追われているときには、新しい技術を試してリスクを伴うような時間はありません。そのリスクは、ユーザーに影響を与えるソフトウェアの機能的な問題であったり、セキュリティの脆弱性を引き起こす巧妙な問題であったりします。

時には、開発がビジネスの商業的側面からの圧力を受けることがあります。彼らは、競争に対抗できるように新しい技術を使用することを要求するかもしれません。それは、あなたが新しい技術を学ぶことを強いられ、なおかつ締切に間に合わせる必要があることを意味しています。

これらの自己作成の傷は、製品のアーキテクチャとコード品質に影響を与えます。開発者が新しいフレームワーク、言語、または開発パラダイムに十分に慣れて、それらの慣用句やベストプラクティスを理解しない限り、最高の結果は得られません。少なくとも、パフォーマンスが低く、メンテナンスが難しいコードを生み出す可能性があります。最悪の場合、セキュリティリスクを引き起こす可能性があります。

サードパーティのライブラリやツールキットは開発を加速しますが、セキュリティの脆弱性や独自の技術的負債を抱える可能性があります。サードパーティのコードを使用することで開発は簡素化されますが、セキュリティチームにとっては問題を複雑にすることがあります。

組織のビジネスおよび商業面は、開発との早期の会話に関与する必要があります。そうすることで、現在の技術と最先端の技術を考慮しつつ、現実的で相互に満足できる製品の説明と仕様が作成できます。あなたのセキュリティチームも関与する必要があります。そして、開発チームは決して何もしないで座っていることはないので、研究のための措置も講じる必要があります。そうしなければ、それは実現しません。

研究、トレーニングを含む時間とリソースを正式にスケジュールすることは、重要な研究が行われることを確実にする唯一の方法です。これを達成するには、採用が必要になるかもしれません。研究がなければ、制御された方法で新しい技術に移行することは決してできません。そして、制御がなければ、リスクが残ります。

ガバナンスと技術的負債

技術的負債は、ソフトウェア開発と同様に、ガバナンスフレームワークの作成に入り込む可能性があります。ソフトウェアを開発する代わりに、ITガバナンスやデータ保護システムなどのポリシーや手続きを作成しています。コードを書いたことがないチームに開発プロジェクトを任せることはありません。ガバナンス文書にも同じことが当てはまります。

適切なスキルセットを持っていない人にタスクを任せても、素晴らしい結果を期待することはできません。良いガバナンス文書を書くことは難しいです。そのスキルセットがなければ、他の組織のポリシーや手順から部分をコピーして、それを一貫したものに編集しようとする誘惑がありますが、それはうまくいきません。その結果は、他の組織のために設計された文書の断片が寄せ集められたパッチワークキルトになります。

あなたのガバナンス著者は、あなたが満たそうとしている、または対処しようとしている法令または基準を理解し、ガバナンスおよびポリシー文書を作成する経験がある必要があります。それがあなたでない場合は、そのスキルを持っている誰かと関わってください。

別の一般的な失敗は、ガバナンス文書を印象的にすることに力を入れすぎて、事実に基づくものにしないことです。それらは、あなたが行っていること、管理が必要なこと、そしてどのようにそれを行うかを真に反映するものでなければなりません。法律や基準を満たすために。それが実際のプロセス、ワークフロー、および安全策を反映していない文書に基づいて監査を受ける場合、監査に合格することは不可能です。

正確で適用可能なガバナンス文書を持っていても、それが使用されていなければあまり意味がありません。コンプライアンスの怠慢とは、ポリシーや手順はあるのに誰もそれを使わない状態を指します。それらはあなたの労働力によって採用され、使用されなければなりません。そうでなければ、手順はポリシーに従って実施されていないことになります。それでも悪いのですが、さらに言えば、手順に従わないことはセキュリティの欠陥やデータの漏洩につながる可能性があります。

ガバナンスシステムを維持するには、時間とリソースが必要です。例えば、内部監査を行う必要があり、法制度の動向を監視する必要があります。法令は時間とともに変化し、廃止されたり、他の法令に置き換えられたりします。ビジネスは、以前は強制されていなかった基準に従うことを選択するか、強制される場合があります。例えば、オンライン決済を開始し、Payment Card Industry Data Security Standard（PCI-DSS）に準拠する必要があるかもしれません。そのため、ガバナンス文書は新しい要求を反映するように修正され、基準のすべての条項が対応されていることを確認する必要があります。

借金と向き合う

技術的負債は決して眠らず、放置すればするほど悪化します。この問題に対処するための取り組みは、簡単なものから非常に難しいものまでさまざまです。パッチ適用ポリシーを確立し、スケジュールを設定することは簡単です。しかし、レガシーシステムへのロックインを根絶するには、耐え難い混乱と費用が必要になるかもしれません。