DevSecConパネルディスカッション：セキュリティとアプリ、どちらを先に考えるべき？

アプリケーション開発において、セキュリティはインフラストラクチャやデータを保護し、ユーザーからの高い信頼を確保するうえで、ますます重要な役割を担っています。先日、SnykのVandana Verma SehgalとDeveloperSteveが、経験豊富な業界の専門家を招いてパネルディスカッションを開催し、アプリ開発のどの段階でセキュリティを取り入れるべきかについて意見を交わしました。

「業界がシフトレフトセキュリティの考え方をソフトウェア開発ライフサイクルに取り入れてきた様子を見ると、セキュリティが最優先事項になりつつあることがわかります。これは新しいアプリケーションの初期構築にも当てはまります。より安全なアプリケーションを実現する方法を見つけるため、アイデア創出の段階からセキュリティを取り入れる動きが見られます。」

「開発者として、私たちはエンドユーザーを念頭に置いてアプリケーションを構築します。ユーザーの体験の安全性を確保し、データを保護することが重要です。エンドユーザーは私たちがアプリを開発することを信頼してくれています。その信頼を維持するには、ユーザーを守ることが不可欠です。」

パネルディスカッション

パネルには、Lidia Giuliano（セキュリティアーキテクト、Blackhat Asiaメンバー）、Michael Cheng（GovTech Singapore、リードソフトウェアエンジニア）、Sandeep Singh（NotSoSecure、セキュリティコンサルタント兼OWASP Delhi Chapterリーダー）、Pas Apicella（Snyk、プリンシパルソリューションエンジニア）が参加しました。

まず、次の質問から始めました。「アプリケーション開発は、セキュリティガイドラインの策定から始めるべきでしょうか？」

Lidia：アプリケーション開発は家を建てるようなものだと、よく例えています。建築を始める前に承認を得る必要があり、計画どおりに進んでいるかを確認するため、途中でコンプライアンスチェックも行われます。

Michael：政府機関向けのアプリを数多く開発していますが、ツールや環境が定められた標準に準拠するよう、ルールやガイドラインを設けています。開発の観点では、何を使えるかだけでなく、どのように使うかについても期待値が定まります。

ツールに関してパネリストの間で重要なポイントとなったのは、セキュリティチームと開発チームが緊密に連携することでした。そうすることで、開発ツールや環境に関する要件を満たしつつ、あらかじめ定めたセキュリティレベルを確保できます。この考えをさらに掘り下げるため、Sandeepに尋ねました。「アプリのスコープを決める際に、考慮すべきセキュリティ要素にはどのようなものがありますか？」

Sandeep：どれほど基本的なことでも、常に基本的なセキュリティ原則を意識することが大切です。ユーザー入力やデータのサニタイズ、インフラストラクチャやアプリケーションプラットフォームにおける認証と権限の保護などです。SDLCの各段階で、「誰がこのアプリを使うのか」「どのようなデータが生成され、どこに保存されるのか」「そのデータが侵害されたらどうなるのか」といった基本的な問いに立ち返ることが重要です。

ここから、パネルの中心テーマである、アプリ開発プロセスにセキュリティを取り入れるのが早すぎることはあるのか、という議論に移りました。特に、次の質問をしました。「これまでに、セキュリティがプロセスに取り入れられた最も早い段階はいつでしたか？」

Pas：Snykで担当しているお客様の中には、当初、DevOpsパイプラインを使ってCI/CDの一環としてセキュリティを自動化しようと考える方もいます。そこで私は、開発プロセスの早い段階で脆弱性をスキャンして把握できる、開発チーム向けのセキュリティツールには何があるかを尋ねます。

Sandeepは、セキュリティ担当者と開発者がペアを組むことで、双方のチームの意識向上につながると指摘しました。Lidiaは、チーム文化として取り組むことが重要だと付け加え、開発チーム内にセキュリティ意識向上の推進役を育てることで、取り組みを促進できると述べました。

Lidia：私が開発者だった頃、セキュリティ上の影響を理由に、特定の言語構文の使用が制限されていました。開発環境であってもコードのデバッグ方法が限られ、アプリケーション開発が難しくなることは分かっていました。

パネル全体を通じた主な結論は、アプリケーション開発プロセスにセキュリティを取り入れるのに早すぎることはない、というものでした。ワークフローの初期段階からセキュリティを組み込むことで、開発チームにとって身近なものとなり、プロセス全体を通じた包括的なセキュリティの実現につながります。アイデアの検討段階であっても、チームがよりセキュリティを重視する考え方を身につけられます。

パネルディスカッションの全編はこちら：

Play Video: Snyk Panel: Which Comes First, Security or the App?

SDLCにSnykを導入する

SDLCの一環としてSnykを統合し、コード、オープンソースパッケージ、コンテナイメージ、IaCをスキャンして、潜在的な問題を特定しましょう。