SecDevOpsモデルアプリケーション - 組織向け情報セキュリティソリューション

[広告_1]

2024 年 11 月 29 日、MISA の代表者は、 BIDV Insurance - BIC が主催したワークショップ「DevSecOps について学ぶ - テクノロジーとセキュリティ管理ソリューション」で、組織の情報セキュリティを向上させる SecDevOps 文化の構築に関する実践的な経験を共有しました。

ワークショップには、情報技術および情報セキュリティ分野の第一人者が参加しました。MISA側からは、情報セキュリティ部長のグエン・クアン・ホアン氏と情報セキュリティ部門長のブイ・ドゥック・チュオン氏が参加しました。

ワークショップの枠組みの中で、MISA情報セキュリティ部門責任者のBui Duc Truong氏がSecDevOpsモデルを紹介し、SecDevOpsを製品に適用して組織の情報セキュリティと安全性の意識向上を支援する経験を共有しました。

Paloalto Networksの2022年11月から2023年1月までの共通脆弱性識別子（CVE）割り当てカタログによると、アプリケーションに脆弱性が発生する原因は、安全でないプログラミングに起因していることが多いようです。そのため、組織はソフトウェア製品の開発プロセス全体にセキュリティを統合する必要があります。具体的には、SecDevOpsモデルをソフトウェアに適用することで製品開発プロセスを加速し、ソースコード内の脆弱性を40～50%削減できると、CIO InsightのJames Rutt氏は述べています。

2022 年 11 月から 2023 年 1 月までの CVE の脆弱性割り当てリスト。

SecDevOpsは、DevSecOpsと同様に、セキュリティ、開発、運用を組み合わせた開発モデルです。しかし、重要な違いは、SecDevOpsではセキュリティを各個人の意識の最前線に置き、ソフトウェア開発プロセスのあらゆるステップで重視することです。さらに、このモデルは「One Team」の作業プロセスと文化を重視しており、各個人が緊密に連携することで、セキュリティを常に最優先に考えることができます。

組織は、人材、プロセス、テクノロジーの 3 つの要素の間で SecDevOps を緊密に適用する必要があります。

SecDevOpsモデルを効果的に適用するには、人材、プロセス、テクノロジーの3つの要素を厳格に適用する必要があります。人材面では、情報セキュリティチームのスキル向上、セキュリティチームとDevOpsチームの連携、プログラミングトレーニングとセキュアなデプロイメントの提供が不可欠です。プロセス面では、セキュアソフトウェア開発ライフサイクル（SSDLC）製品ライフサイクルモデルを適用することで、セキュアなソフトウェアを開発できます。テクノロジー面では、静的解析（SAST）、動的解析（DAST）、インタラクティブ解析（IAST）、ソフトウェア構成解析（SCA）といったセキュリティ手法とツールを活用し、セキュリティ脆弱性の検出と対策が可能です。

トゥルオン氏によると、プログラマーは、ソフトウェア開発プロセスの後の段階で脆弱性が現れないようにするために、セキュリティ意識と安全なプログラミングについて訓練を受ける必要があるという。