SecDevOpsモデルの適用 - 組織向け情報セキュリティソリューション

[広告1]

2024 年 11 月 29 日、MISA の代表者は、 BIDV Insurance – BIC が主催したワークショップ「DevSecOps の理解 – セキュリティ管理のためのテクノロジーとソリューション」で、組織の情報セキュリティを強化するための SecDevOps 文化の構築に関する実践的な経験を共有しました。

ワークショップには、情報技術および情報セキュリティ分野の第一人者が参加しました。MISAからは、情報セキュリティ担当ディレクターのグエン・クアン・ホアン氏と情報セキュリティ担当責任者のブイ・ドゥック・チュオン氏が参加しました。

ワークショップの枠組みの中で、MISAの情報セキュリティ責任者であるBui Duc Truong氏がSecDevOpsモデルを紹介し、組織の情報セキュリティと安全性に対する意識向上を支援するためにSecDevOpsを製品に適用した経験を共有しました。

Paloalto Networksの2022年11月から2023年1月までの共通脆弱性識別子（CVE）インデックスによると、アプリケーションに脆弱性が発生する主な原因は、安全でないプログラミングです。そのため、組織はソフトウェア開発プロセス全体にセキュリティを組み込む必要があります。InsightのCIOであるJames Rutt氏によると、具体的には、SecDevOpsモデルをソフトウェア開発に適用することで、プロセスを加速し、ソースコードの脆弱性を40～50%削減できるとのことです。

2022 年 11 月から 2023 年 1 月までの CVE の脆弱性割り当てリスト。

SecDevOpsは、DevSecOpsと同様に、セキュリティ、開発、運用を組み合わせた開発モデルです。しかし、DevSecOpsとの主な違いは、SecDevOpsでは、各個人の意識とソフトウェア開発プロセスのあらゆるステップにおいてセキュリティを最優先に考える点です。さらに、このモデルは「One Team」の作業プロセスと文化を重視し、緊密な連携を促進することで、セキュリティを常に最優先事項として維持します。

組織は、人材、プロセス、テクノロジーという 3 つの主要要素にわたって SecDevOps を効果的に実装する必要があります。

SecDevOpsモデルを効果的に実装するには、組織は人材、プロセス、テクノロジーという3つの重要な要素を厳格に遵守する必要があります。人材面では、情報セキュリティチームのスキル向上、セキュリティチームとDevOpsチームの連携、そしてセキュアなプログラミングとデプロイメントに関するトレーニングの提供が不可欠です。プロセス面では、セキュアソフトウェア開発ライフサイクル（SSDLC）モデルを適用することで、セキュアなソフトウェアを開発できます。テクノロジー面では、静的解析（SAST）、動的解析（DAST）、インタラクティブ解析（IAST）、ソフトウェアコンポジション解析（SCA）といったセキュリティ手法とツールを活用し、脆弱性の検出と対策を行うことができます。

トゥルオン氏によると、プログラマーは、ソフトウェア開発プロセスの後の段階で脆弱性が現れないようにするために、セキュリティ意識と安全なプログラミングについて訓練を受ける必要があるという。