セキュアSDLC 101

デジタルトランスフォーメーションがすべての業界セクターに広がり、今やあらゆる企業がソフトウェアビジネスに携わっています。顧客と直接取引する営業でも、業務の運用でも、市場での競争力の維持に必要なスピードと俊敏性を実現しながらソフトウェアの信頼性を高めることで、収益力を確保する必要があります。

しかし、ソフトウェア開発ライフサイクル（SDLC）にセキュリティを組み込むことに関しては多くの組織が立ち遅れています。多くの開発チームは依然としてセキュリティをボトルネック、つまり完成したはずのコードの手直しを強いられる問題と捉える傾向があり、その認識が便利な最新機能の市場への投入を阻害しています。

しかし、セキュリティが不十分なソフトウェアは、企業をますます大きなリスクにさらします。製品がハッカーによる悪用に対して無防備であれば、便利な最新機能があってもお客様やお客様の顧客は保護されません。高品質、高セキュリティ製品の市場への投入を阻止するのではなく実現できるようなセキュアなソフトウェアプロセスを開発して、セキュリティを組み込む必要があります。

セキュアSDLCの仕組み

一般的には、セキュアSDLCでは、セキュリティテストおよびその他のアクティビティを既存の開発プロセスに統合する必要があります。例としては、セキュリティ要件の作成と機能要件の作成を並行して行うことや、SDLCの設計フェーズでアーキテクチャリスク分析を行うことなどが挙げられます。

多くのセキュアSDLCモデルが使用されていますが、最もよく知られているものの1つにMicrosoft Security Development Lifecycle（MS SDL）があります。このモデルは、ソフトウェアのセキュリティを強化するために組織が採用できる12のプラクティスを示しています。米国国立標準技術研究所（NIST）から発表されたSecure Software Development Frameworkもあります。このフレームワークは、組織が既存のSDLCに統合できるセキュリティ関連プロセスに焦点を当てています。

どのように始めるか

開発者またはテスターは、セキュアSDLCへと移行し、組織のセキュリティを向上するために次のことを行うことができます。

• セキュアコーディングのベストプラクティスと利用可能なセキュリティフレームワークについて学習し、同僚にも教える。
• 開始時にアーキテクチャ・リスク分析を実施する。
• テストケースの計画/作成時にセキュリティを考慮する。
• 静的解析、動的解析、およびインタラクティブ・アプリケーション・セキュリティ・テストにコード・スキャン・ツールを使用する。

基本事項を超えて次に進む

これらの基本的事項を超えて、管理者はより大きなインパクトを実現するために戦略的アプローチを考案する必要があります。完全なセキュアSDLCを一から実装することに関心がある意思決定者の方は、以下のことから始めてください。

• 現在組織に存在するアクティビティおよびポリシーとその有効性を特定するギャップ分析を行う。
• 現実的で達成可能な目標と成功指標の定義を定めることにより、ソフトウェア・セキュリティ・プログラム（SSP）またはソフトウェア・セキュリティ対策（SSI）を策定する。
• SSI内のセキュリティアクティビティのプロセスを形式化する。
• 開発者のセキュアコーディングのトレーニングと適切なツールに投資する。
• 必要に応じて外部の支援を利用する。