アプリケーションセキュリティ成熟度モデル

アプリケーションセキュリティをどこから始めればよいかを明確にするのは、多くの場合簡単ではありません。特に、企業ごとにアプリケーションの構成、開発プロセス、チーム体制が異なる場合はなおさらです。

そのため、チームはまずアプリケーションセキュリティ成熟度モデルを活用し、現在のセキュリティ態勢を把握して目標を設定することがよくあります。

アプリケーションセキュリティ成熟度モデルを活用するメリット

AppSec成熟度モデルを使うと、アプリケーションセキュリティの取り組みにおける「成功」とは何かを明確にできます。また、成熟度モデルは一般的な表現で作られているため、チームのニーズや成長目標に合わせて調整しやすくなります。

アプリケーションセキュリティ成熟度モデルを活用するメリットには、次のようなものがあります。

• 明確な基準。組織内の部門ごとに、アプリケーションセキュリティにおける「成功」の定義は異なるでしょう。AppSec成熟度モデルは、第三者の基準を示すことで、全員の認識をそろえます。

• 固有のセキュリティニーズに合わせて調整可能。AppSec成熟度モデルは、成熟度にかかわらず、あらゆる企業のセキュリティプログラムに対応できる幅広さを備えています。

• AppSecプログラムの基盤。こうしたモデルは、企業のアプリケーションセキュリティプログラムの基盤にもなります。アプリケーション資産全体とSDLCプロセスを確実にカバーできるほか、長期的にAppSecプログラムの役に立たない余分な取り組みを見直す指針にもなります。
  

アプリケーションセキュリティ成熟度モデルは何に活用できますか？

組織はアプリケーションセキュリティ成熟度モデルを、セキュリティ施策の成果測定、改善機会の特定、レポートの作成、コンプライアンスの証明に活用します。

それぞれの活用方法を詳しく見ていきましょう。

• 自社の AppSecセキュリティ態勢を測定する。アプリケーションセキュリティの現状はどうなっていますか？リスクの軽減に役立っているツール、人材、プロセスは何でしょうか？AppSec成熟度モデルを使えば、これらの疑問に答え、継続的な成長に向けた出発点を得られます。

• 改善すべき領域を特定する。前述の点と同様に、AppSec成熟度モデルは、セキュリティプログラムに不足している要素を明らかにします。現在のアプローチのギャップを示し、改善に向けた明確な次のステップを提示します。

• 経営陣やその他の関係者に報告する。成熟度モデルを活用すると、組織は成果や経時的な成長を定量的に報告し、セキュリティ投資のROIを示すことができます。

• コンプライアンスを証明する。AppSec成熟度モデルは、外部の関係者にコンプライアンスを示すのに役立ちます。EU、米国、国連はAppSec成熟度の達成に関するガイダンスを公表しています。基準を先取りし、コンプライアンスを示すことが、これまで以上に重要です。

アプリケーションセキュリティ成熟度モデルにはどのような種類がありますか？

アプリケーションセキュリティ成熟度モデルの例として、次のようなものがあります。

• OWASP Software Assurance Maturity Model（SAMM）は、組織が固有のリスクを特定し、それを軽減するための戦略を策定・実行できるオープンフレームワークです。

• Building Security In Maturity Model（BSIMM）は、組織がソフトウェアセキュリティの取り組み全体で活用できる共通の用語と実践方法の基準を定めたモデルです。

• Cybersecurity Maturity Model Certification（CMMC）は、米国国防総省（DoD）の機密情報を保護するために、契約業者や下請け業者のトレーニングに重点を置くプログラムです。

利用するAppSec成熟度モデルの選び方

それぞれのモデルは、アプリケーションを保護するための視点が異なるため、複数を評価して、自社に最適なものを選ぶのがおすすめです。たとえばOWASPは、クラウドネイティブアプリケーションやWebフロントエンドの保護に適しています。業界や地域も、選択の判断材料になるでしょう。

各AppSec成熟度モデルには何が含まれていますか？

各モデルは、AppSecのベストプラクティスにおける重要な検討事項を示しています。多くの場合、次の内容が含まれます。

• AppSecプログラムの現状を評価するための標準化されたベンチマーク

• AppSecプログラムにおける最適な次のステップをチームが判断するためのリスクの優先順位付け

• アプリケーション開発プロセスに適切なコントロールを導入するための基準

• 組織全体にセキュリティ文化を根付かせるための提案

• プログラムの成果を測定するテスト手法

• プログラムを継続的に成熟させるためのガイドライン
  

アプリケーションセキュリティモデルの例を教えてください。

OWASP成熟度モデルは、最も広く利用されているモデルの一つです。次の領域に重点を置いています。

• ガバナンス：意識の向上、セキュリティ文化の醸成、ポリシーの策定。

• 設計：AppSecの現状を評価し、現実的な成長目標を設定する。

• 実装：適切なセキュリティコントロールをSDLCに組み込む。

• 検証：セキュリティコントロールの有効性をテストする。

• 運用：セキュリティ施策を継続的に管理する

アプリケーションセキュリティの成熟度を測定する4つの推奨事項

アプリケーションセキュリティの成熟度を測定する際は、次の4つの点を意識しましょう。

1. 可能な限りツールで自動化する。重大な脆弱性の数やクラウドの設定ミスなど、現代のソフトウェアサプライチェーン全体のセキュリティ関連指標を手動で追跡するのは不可能です。そのため、プロセスを自動化する適切なツールを見つけることが欠かせません。開発者、クラウドアーキテクト、セキュリティ担当者、経営幹部など、すべての関係者が活用できるツールをそろえましょう。

2. 定期的に評価を実施し、成熟度モデルの指標を収集する。アプリケーションセキュリティ評価は、潜在的な脅威を特定し、アプリケーションの攻撃対象領域を把握するための明確な枠組みを組織に提供します。多くのチームが、AppSec評価を実施する際の枠組みとしてOWASP Top 10の脆弱性リストを活用しています。

3. 選んだモデルのうち、どの要素が最も重要かを見極める。成熟度モデルは複雑です。すべてを一度に網羅しようとするのではなく、自社に特に当てはまる重要な項目を把握しましょう。AppSec成熟度モデル全体を導入するのは複雑であり、必要でもありません。

4. 成熟度モデルは一度きりのタスクではなく、継続的なプロジェクトと捉える。成熟度モデルの導入は一度で完了するものではありません。常に進化し続けるプロジェクトです。

5. ASPMを活用して成熟度の向上をモニタリングする。ASPM（アプリケーションセキュリティ態勢管理）ツールのSnyk AppRiskなどを活用すると、AppSecプログラムを一元的に可視化し、チーム、ツール、プロセスの進捗を追跡できます。

Snykで実現するアプリケーションセキュリティ成熟度モデル

Snykは、組織がアプリケーションセキュリティプログラムを継続的に改善できるよう支援します。主要なアプリケーションセキュリティ成熟度モデルにも対応しています。開発者を第一に考えたツール群とASPMにより、チームは自社のソースコード、サードパーティの依存関係、コンテナ、IaC、クラウドにおける脆弱性の特定と修正を行えます。また、アプリケーションセキュリティの進捗を示す強力なレポート機能も提供します。

ぜひアプリケーションセキュリティソリューションの詳細をご覧ください！