AppSecの春の大掃除チェックリスト

春の日差しや咲き誇る花を見ると、掃除を始めたくなる人は多いものです。冬の間にクモの巣が張った物置や、キッチンの隅にある物があふれた引き出しを片付けようと考える人もいるでしょう。

家や庭を見回して、どこから掃除を始めるか考えるこの時期は、アプリケーションセキュリティプログラムを見直し、既存のプロセスを整理する絶好の機会でもあります。まずは、次のような場所から取り組んでみましょう。

アプリケーションセキュリティプログラムを整理する3つの方法

資産を整理する

家中を探し回っていた物が、クローゼットや引き出しを整理した途端に見つかる。そんな経験は誰にでもあるでしょう。整理整頓しておけば、必要なときに物を見つけやすくなります。アプリケーションセキュリティも同じです。

自社が管理するすべてのアプリケーション資産（自社開発コード、オープンソースコンポーネント、Infrastructure as Code、コンテナなど）を一元化して整理すれば、必要なものを簡単に見つけられます。Log4Jのようなゼロデイ脆弱性への対応では、影響を受けるアプリケーションをすべて特定することが急務です。ガラクタの引き出しに埋もれたお気に入りのペンを探すのとはわけが違います。

セキュリティアラートを整理する

散らかった部屋やクローゼットを前にすると、「どうしてこうなったんだろう？」「あの人がもっと片付けてくれたらいいのに」「いったい何から手をつければいいんだろう？」といった思いが浮かぶかもしれません。

アプリケーションセキュリティの世界でも、同じように問題が積み重なることがあります。ただし、クローゼットや部屋にたまる雑多な物ではなく、セキュリティアラートが増えていくのです。開発チームに渡す前にセキュリティチームが問題の優先順位を決めて整理しなければ、散らかった部屋を目の前にしたときと同じような気持ちを開発者に抱かせてしまいます。開発者は、セキュリティの専門家ではなく、できる限り機能するコードを作ろうとしているだけなのに、なぜこんなことになったのかと困惑するでしょう。散らかした原因はセキュリティチームだと考え、責め始めるかもしれません。手伝いたくても、どこから始めればいいのかわからないこともあります。

解決策は、ビジネス全体へのリスクに基づいてアラートに優先順位を付け、精査した問題を開発者に届けることです。自動化やツールを活用して、問題をできるだけ早く、理想的には開発者がコードをコミットした時点で検出するのがおすすめです。散らかしてしまった当日に片付けるほうが、何週間も放置してさらに散らかるのを待ち、最後にまとめて片付けるよりずっと簡単です。それは考えるだけでも気が重くなります。

AppSecのポリシーとコントロールを改善する

家や庭の春の大掃除を終えると、模様替えをしたり、新しいものを加えたりして、さらに快適にしたくなるかもしれません。物置に散らばった道具をまとめる新しい工具箱をHome Depotで探したり、奥のクローゼットにしまい込んでいた本を収める本棚をTargetで新調したりするのもよいでしょう。

アプリケーションセキュリティプログラムを整理したら、新しい整理方法やツールを取り入れて、さらに改善しましょう。せっかくプログラムをきれいに整えたのですから、再び混乱した状態に戻らないようにしたいものです。今後も整理された状態を保つために新しい棚や箱を用意するのと同様に、自動監視や適用の仕組みなど、適切なポリシーとコントロールで整えたAppSecプログラムを維持することが重要です。こうしたガードレールによって、セキュリティチェックを行わずにコードをコミットするなど、組織内の誰もがセキュリティを意識しない行動に戻ってしまうのを防げます。

ASPM：AppSecの春の大掃除を助ける高圧洗浄機

家や庭を整理する場合、掃除から仕分け、模様替えまで、すべてをこなせる道具はありません。一方、アプリケーションセキュリティには、ここまで紹介した取り組みを始めるのに役立つソリューションがあります。それがアプリケーションセキュリティポスチャ管理（ASPM）です。

ASPMは、アプリケーション環境を包括的に可視化し、SDLC全体のセキュリティシグナルを集約、相関分析、評価します。これによりチームは、アプリケーションのセキュリティポスチャを十分に把握し、ビジネスへの実際のリスクに基づいて脆弱性を管理し、セキュリティコントロールを適用できます。

ASPMがどのように役立つかを詳しく知り、AppSecの春の大掃除を始めましょう。