草榴社区

デジタルトランスフォーメーションがすべての业界セクターに広がり、今やあらゆる公司がソフトウェアビジネスに携わっています。顾客と直接取引する営业でも、业务の运用でも、市场での竞争力の维持に必要なスピードと俊敏性を実现しながらソフトウェアの信頼性を高めることで、収益力を确保する必要があります。

しかし、ソフトウェア开発ライフサイクル（厂顿尝颁）にセキュリティを组み込むことに関しては多くの组织が立ち遅れています。多くの开発チームは依然としてセキュリティをボトルネック、つまり完成したはずのコードの手直しを强いられる问题と捉える倾向があり、その认识が便利な最新机能の市场への投入を阻害しています。

しかし、セキュリティが不十分なソフトウェアは、公司をますます大きなリスクにさらします。製品がハッカーによる悪用に対して无防备であれば、便利な最新机能があってもお客様やお客様の顾客は保护されません。高品质、高セキュリティ製品の市场への投入を阻止するのではなく実现できるようなセキュアなソフトウェアプロセスを开発して、セキュリティを组み込む必要があります。

セキュア厂顿尝颁の仕组み

一般的には、セキュア厂顿尝颁では、セキュリティテストおよびその他のアクティビティを既存の开発プロセスに统合する必要があります。例としては、セキュリティ要件の作成と机能要件の作成を并行して行うことや、厂顿尝颁の设计フェーズでアーキテクチャリスク分析を行うことなどが挙げられます。

多くのセキュア厂顿尝颁モデルが使用されていますが、最もよく知られているものの1つにがあります。このモデルは、ソフトウェアのセキュリティを強化するために組織が採用できる12のプラクティスを示しています。米国国立標準技術研究所（NIST）から発表されたSecure Software Development Frameworkもあります。このフレームワークは、組織が既存のSDLCに統合できるセキュリティ関連プロセスに焦点を当てています。

どのように始めるか

开発者またはテスターは、セキュア厂顿尝颁へと移行し、组织のセキュリティを向上するために次のことを行うことができます。

• セキュアコーディングのベストプラクティスと利用可能なセキュリティフレームワークについて学习し、同僚にも教える。
• 开始时にアーキテクチャ?リスク分析を実施する。
• テストケースの计画/作成时にセキュリティを考虑する。
• 静的解析、动的解析、およびインタラクティブ?アプリケーション?セキュリティ?テストにコード?スキャン?ツールを使用する。

基本事项を超えて次に进む

これらの基本的事项を超えて、管理者はより大きなインパクトを実现するために戦略的アプローチを考案する必要があります。完全なセキュア厂顿尝颁を一から実装することに関心がある意思决定者の方は、以下のことから始めてください。

• 现在组织に存在するアクティビティおよびポリシーとその有効性を特定するギャップ分析を行う。
• 现実的で达成可能な目标と成功指标の定义を定めることにより、ソフトウェア?セキュリティ?プログラム（厂厂笔）またはソフトウェア?セキュリティ対策（厂厂滨）を策定する。
• 厂厂滨内のセキュリティアクティビティのプロセスを形式化する。
• 开発者のセキュアコーディングのトレーニングと适切なツールに投资する。
• 必要に応じて外部の支援を利用する。