BSIMMによるセキュリティ意識の向上と導入の促進

課題：セキュリティ第一の文化に根ざしたソフトウェア・セキュリティ・プログラムの構築

ソフトウェア・セキュリティ・プログラムを一から構築する任務を負ったGenetec主任セキュリティ・アーキテクトのMathieu Chevalier氏は、組織のセキュリティ・プログラムを強化・発展させる取り組みには信頼できる実証済みの戦略が必要であることを実感しました。Chevalier氏は、「（彼の方法論の）主要因は、定量的なアプローチを用いて、重点を置くべき事項を特定し、他の人の経験を活かすための計画を策定することでした」と言います。

また、セキュリティ対策の開始当初から、Genetecの「ソフトウェア・セキュリティ対策は初期段階にある」ことにすぐに気付きました。「ソフトウェア・セキュリティ・チームが存在しないのです。」 ソフトウェア・セキュリティ・プログラムを推進し、その内容を遵守するには、ポリシーやプラクティス以上の要件が必要であることを理解したChevalier氏は、セキュリティを優先する環境と文化を促進する取り組みに着手しました。

そこで直面した重大な問題は、プログラムを開発するだけでなく、戦略を補強するための実証済みの方法とアプローチを見つけることであり、それには戦略的意思決定を検証する方法が必要でした。また、ソフトウェア・セキュリティ対策に対する信頼を築く必要もありました。

解決策：BSIMM評価

Genetec社は、潜在的な成長分野を特定し、ソフトウェア・セキュリティ体制の明確な全体像を把握するために、BSIMM評価の実施を選択しました。シノプシスのBuilding Security In Maturity Model（BSIMM）は、現在のAppSecアクティビティをテスト、測定、およびベンチマーキングするためのモデルとフレームワークを提供します。BSIMMデータは、金融サービス、独立系ソフトウェア・ベンダー、ヘルスケア、コンシューマー・エレクトロニクスなど、さまざまな業種にわたる130の組織のセキュリティ・プログラムに基づいて、AppSecの状態に関する独自の視点を提示し、経営幹部が組織での実施を検討すべき主要なアクティビティ、プラクティス、ツールに関する洞察を提供します。

Genetec社は2016年12月にBSIMMを使用し始め、過去5年間で2つの評価を行いました。

発足したばかりのセキュリティ・プログラムに対してBSIMM評価を行うというChevalier氏の決定により、重要な第三者の洞察が得られました。BSIMMデータの使用は、「容易に達成できる目標を見つけ、その目標を契機にして変化を促進する」ために役立ちました。BSIMMが提供するデータを使用して、直感的に浮かんだ要件について「現状を把握し、改善策に取り組み、再測定」しました。この取り組みに最適な定量的手法を検討した結果、BSIMMが条件を満たしていることがわかりました。

プログラムに関する意思決定と方向性の検証に信頼できる第三者機関を採用することで、信頼性とサポートを担保し、重要なガイダンスを得ることができました。