DevSecOpsでリスクを管理する、セキュリティ・バイ・デザインの導入

現代のソフトウェアの複雑さを脅威アクターが悪用するなか、リスクを取り巻く環境は絶えず変化しています。そのため、アプリケーションライフサイクルの最初から最後まで、全体を通じてセキュリティを優先することが重要です。しかし、多くのソフトウェアチームは、アプリケーション開発がかなり進んでから初めてセキュリティについて考え始めます。

設計、コーディング、テストからデプロイまで、各段階にセキュリティを組み込むことで、チームはリスクを事前に軽減し、後期段階での修正コストを抑え、より安全でレジリエントなソフトウェアアプリケーションを実現できます。これは、アプリケーション開発の初期段階で特に重要です。

この記事では、開発プロセスの早い段階でセキュリティ脅威を軽減することのビジネス価値と、セキュリティ・バイ・デザインを効果的に導入する方法をご紹介します。

脅威を早期に軽減する価値

従来の開発ではセキュリティ対策を本番環境まで先送りしていましたが、今日のスピードの速いソフトウェア開発プロセスでは、もはや効果的ではありません。DevOpsやアジャイル手法によって開発者はコードを迅速にリリースできるようになりました。この変化の加速に対応するには、アプリケーションセキュリティへの新しいアプローチが必要です。

DevSecOpsを真に実践するには、リスクを軽減してボトルネックを防ぐため、最初から継続的に脅威を軽減することを優先する戦略が必要です。問題を早期に修正するほうがはるかに効率的で、コストも抑えられるため、この戦略はDevOpsチームやソフトウェアチームにとって重要です。ソフトウェア開発ライフサイクル（SDLC）の後期に発見されたソフトウェアの欠陥は、早期に特定した場合と比べて、修正コストが最大100倍になることがあります。

多くの組織は、開発ライフサイクルの早い段階でセキュリティチェックを取り入れるシフトレフトの原則を長年実践してきました。しかし、静的で孤立したプロセスに依存し、開発者のワークフローと連携できていなかったため、その効果を十分に発揮できないことが少なくありませんでした。真のシフトレフトを実現するには、誰もがセキュリティを最優先する姿勢を取り入れられる、より実践的なアプローチが必要です。

たとえば、コードレビューの自動化により、潜在的な脆弱性が深刻な問題や高額なコストにつながる前に、簡単に特定できます。コードやオープンソースの依存関係を自動でスキャンして脆弱性を検出し、迅速で実用的なフィードバックを提供するツールを導入すれば、開発者の作業を妨げずにセキュリティを向上できます。これにより、脆弱性を事後対応で修正する状態から、安全なソフトウェアをプロアクティブに提供する状態へと転換できます。

セキュリティ・バイ・デザインの導入

セキュリティ・バイ・デザインは、シフトレフトをさらに一歩進め、ソフトウェアをゼロから安全に計画・構築することを徹底します。セキュアな設計原則を取り入れることで、開発者が常に安全な選択をできるようにし、脆弱性や弱点がそもそも生じるのを防げます。

また、要件定義と設計の段階からセキュリティを組み込むことは、アプリケーション提供のすべての段階でセキュリティを考慮するセキュアなソフトウェア開発ライフサイクル（SSDLC）を構築するうえで重要です。新機能の機能要件を定義する際には、弱点の混入や攻撃対象領域の拡大を防ぐため、セキュリティ上の懸念を特定する必要があります。

設計段階にとどまらず、透明性が高く関連性のあるセキュリティコントロールを設けることで、開発者がより安全な選択をできるよう導けます。実際の脅威モデルに基づくセキュリティコントロールは、多くのセキュリティ判断を自動化し、コード変更のたびに脆弱性を検出、トリアージ、修正するサイクルから開発チームが脱却するのに役立ちます。

セキュリティ・バイ・デザインを導入するためのベストプラクティス

セキュリティ・バイ・デザインを導入する際は、次のベストプラクティスを参考にしてください。

• 責任を明確にする：ソフトウェア設計プロセスにおける責任を明確に定め、アイデア創出の最初期からリスクを踏まえた検討を取り入れるため、セキュリティ関係者の意見を反映させます。

• 脅威モデルを構築する：攻撃対象領域を最小限に抑えるため、詳細な脅威モデルを関係者と共同で構築し、バージョン管理しながら検証します。また、ソフトウェア資産のライフサイクル全体を通じて継続的に見直します。

• 適切な標準を定める：アプリケーションセキュリティに関する適切な統制標準を、新しいコード変更の承認プロセスに完全に組み込みます。また、脆弱性の混入を防ぐため、開発者がセキュアコーディング標準に従うよう促します。

• 適切なセキュリティツールを選定する：各アプリケーション資産のリスクプロファイルと脅威モデルに基づいて、セキュリティツールを慎重に選定します。その際、摩擦を減らし、既存の開発ワークフローに統合できる開発者ファーストのツールを選びます。

• セキュリティコントロールを導入する：ソフトウェアチームが安全な開発方法を簡単に選択でき、誤ってリスクを持ち込まないよう、自動化されたセキュリティコントロールを設計します。セキュリティは透明性を確保し、可能な限りソフトウェアエンジニアがセルフサービスで対応できるようにします。

Snykでアプリケーションのリスクを管理

セキュリティ・バイ・デザインは、現代のソフトウェアのリスク管理に欠かせません。アプリケーションはセキュリティを考慮して設計し、リスクを把握して最小限に抑えるために脅威モデルを構築する必要があります。また、開発者はセキュアコーディング標準に従い、セキュリティを標準の選択肢にするセキュリティコントロールを遵守する必要があります。

Snykは開発者ファーストのセキュリティプラットフォームです。開発から本番環境まで、ソフトウェア提供プロセス全体にセキュリティチェックを簡単に組み込めます。自動化されたスキャン、スコアリング、修正機能により、開発のスピードを落とさず、セキュリティ脅威にできるだけ早く対処できます。

開発者主導のセキュリティを組織で実現するための、より実践的なアドバイスをお探しですか？ 「DevSecOpsプログラムを前進させるための5つの重要な機能」をダウンロードしてください。