DSO.ai
もっと詳しく知る →
ニュースリリース - 2021年11月18日
シノプシス、BSIMM12日本語版を発表 オープン?ソースやクラウド、コンテナ?セキュリティへの取り組みの大幅な向上が明らかに
ランサムウェア犯罪の増加やサプライチェーンの混乱を契机にソフトウェア?セキュリティの重要性への认识が上昇していることが最新の叠厂滨惭惭レポートで判明
2021年11月18日 東京発 - シノプシス（草榴社区, Inc.、Nasdaq上場コード:SNPS）は本日、の调査レポートの最新版であるを公開した。BSIMMは、ソフトウェア?セキュリティ?イニシアティブ（SSI：software security initiatives）の計画/実行/測定/改善を行う企業/団体を支援するものである。BSIMM12には、金融、フィンテック、独立系ソフトウェア?ベンダ（ISV：Independent Software Vendors）、クラウド、医療、IoTといった様々な业界に属する128の企業/団体のソフトウェア?セキュリティへの取組みの実態が反映されており、約3,000名のソフトウェア?セキュリティ?グループのメンバーならびに6,000を超すサテライト（開発チーム等におけるソフトウェア?セキュリティ担当者）の取り組みが類型化されている。BSIMMは、世界中の様々な企業/団体が、BSIMM調査から得られたデータと自社の取り組み状況を比較/対照する際の評価軸となる。
叠厂滨惭惭12では、オープンソース?コードを识别して管理しているソフトウェア?セキュリティ?グループが、过去2年间で61%増加していることが明らかになった。その背景としてほぼ确実に言えることは、最近のソフトウェアにおけるオープンソース?コンポーネントの普及、ならびに一般的なオープンソース?プロジェクトを媒介したセキュリティ攻撃の増加が挙げられる。
クラウド?プラットフォームやコンテナ技术の分野で取り组みが増加しているという事実は、公司/団体がソフトウェアをどのように使用し、保护しているかという点に関して、こうした技术がもたらす影响の大きさを示している。事実、「コンテナと仮想环境にオーケストレーションを使用する」という取り组みが観测された公司は、过去2年间で560%も増加している。
叠厂滨惭惭12のダイジェストは下记より入手可能。
BSIMM122021 インサイト＆トレンド?レポートは下記より入手可能。
BSIMMコミュニティのメンバーであるNavy Federal Credit Unionのインフォメーション?セキュリティ?プリンシパル Mike Ware氏は、次のように語っている。「過去18ヶ月の間に、企業/団体におけるデジタル?トランスフォーメーションへの取り組みは大きく進展しました。その結果、ソフトウェア環境とクラウド技術の展開/管理にあたって、ソフトウェア定義アプローチを適用するケースが増加しています。このような変化の複雑さとペースを考えると、セキュリティ?チームにとって、現状を理解し、次に軸足を置くべきところを示唆するツールを持つことの重要性は、これまでになく大きくなっています。BSIMMは、まさにそのための管理ツールです。BSIMMは、こうした企業/団体が、最新のソフトウェア開発の原則と実践に合わせるために、コードとしてのポリシー（policy as code）のようなソフトウェア定義のセキュリティ機能を実装するために、戦略をどうシフトしているのかを見ることのできる独自のレンズを提供します」
BSIMMコミュニティのメンバーであるGenetec社のプリンシパル?セキュリティ?アーキテクト Mathieu Chevalier氏は、次のように語っている。「BSIMMは、企業/団体にとって、自分たちが現在実践しているセキュリティへの取り組みを評価する基準となります。これによって、セキュリティ分野における最新トレンドに対応した視点を持ち、優先順位を設定することができるようになります。BSIMMの記述モデルは、企業/団体がソフトウェア?セキュリティへの取り組みをどのようにスタートさせ、またどうやって効果的に進化させるかを決定する際の助けになります。特に、責任分担モデルに関してBSIMM12がもたらしてくれる所見は、セキュリティ責任者にとって、自分たちのセキュリティ戦略に潜む弱点を最小化し補正するためにはどういう進化が必要なのかについての考察を促す力となります」
BSIMMコミュニティのメンバーであるLandis+Gyr社の最高情報セキュリティ責任者（CISO） Todd Wiedman氏は、次のように語っている。「BSIMMの内容は、业界のベスト?プラクティスに触れるという観点から非常に良く整理されています。多岐に渡る開発チームで実践されている様々なセキュリティへの取り組みの成熟度を把握することができるのです。ソフトウェア開発の手法が急速に進化している現状を反映して、BSIMMデータからは、セキュリティ開発プログラムの現場で起きている現実の変化を読み取ることができます。この情報を用いることで、企業/団体はイノベーションを損なうことなく、自組織とその顧客を保護するために自らの戦略を適応させることができます」
BSIMMコミュニティのメンバーであるFinastra社のプロダクト＆データ?セキュリティ?プログラム担当ディレクター Vinod Raghavan氏は、次のように語っている。「当社のプロダクト＆データ?セキュリティ?プログラムの一環として、我々は、BSIMMフレームワークを使用し、セキュリティ戦略の推進を支援してきました。BSIMMは、金融业界や他の业界の企業/団体の取り組みと比較?評価するのに役立ち、セキュリティ対策を成熟させる一助となりました」
叠厂滨惭惭12の结果から浮かび上がってきた新しいトレンドは以下のような项目である。
- ランサムウェアやソフトウェア?サプライチェーン攻撃が大きく报道される中、ソフトウェア?セキュリティの重要性への认识が上昇している
過去2 年間のBSIMM のデータを見ると、「オープン?ソースを特定する」のアクティビティを実施している企業/団体の数は61% 増加し、「SLAの定型書式を作成する」のアクティビティを実施している企業/団体の数は57% 増加している。
- 多くの公司がリスクを数値化する方法を习得
「ソフトウェア?セキュリティに関するデータを内部的に公開する」のアクティビティを実施している企業/団体の数が過去24 ヶ月で30% 増加するなど、ソフトウェア?セキュリティ?イニシアティブに関するデータの収集と公表に注力する企業が増えている。
- クラウド?セキュリティに関する能力が向上
幹部の関心の高まりに加え、おそらくはエンジニアリング主導の取り組みもあいまって、企業/団体はクラウド?セキュリティの管理および責任共有モデルの評価に関して独自の能力を開発するようになっている。クラウド?セキュリティとの関連性が高いアクティビティを過去2 年間で新たに実施した企業/団体の数は平均で36 社となっている。
- セキュリティ?チームがDevOps プラクティスに対してリソース、スタッフ、知識を貸与
ソフトウェア?セキュリティ?チームは以前のようなセキュリティの行動を義務付ける役割から、パートナーとしての役割へと移行しており、ソフトウェア?デリバリのクリティカル?パスにセキュリティの取り組みを直接含めることができるように、リソース、スタッフ、知識を開発チームに提供していることがBSIMM のデータから明らかになっている。
- ソフトウェア部品表作成への取り组みが367%増加
ソフトウェアの棚卸を行い、ソフトウェア部品表（BOM）を作成し、ソフトウェアがどのように開発/構成/展開されて来たかを理解し、セキュリティ?データの遠隔測定結果を基にソフトウェア再展開するといった組織能力を強化するということに焦点を当てた能力の増強も、BSIMMデータから読み取ることができる。多くの企業/団体が包括的かつ最新のソフトウェアBOMの必要性を重く受け止めているという事実は、BSIMM調査に表れているこれに関連する取り組み（「運用BoM（Bill of Materials）を使用してアプリケーション?インベントリを強化する」）が、過去2年間で3から14に増加していることからも明らかである。実に367%の増加である。
- 「シフト?レフト」から「シフト?エブリウェア」へ
「シフト?レフト」のコンセプトは、セキュリティ?テストを開発プロセスの早期段階に前倒しすることに焦点を当てている。「シフト?エブリウェア」はその考えをさらに拡張し、セキュリティ?テストをソフトウェア?ライフサイクル全体で継続的に実行することを指す。すなわち、短時間で完了する小規模なパイプライン駆動型セキュリティ?テストを可能な限り早い時点で実施するという意味だが、「可能な限り早い時点」は设计段階のこともあれば、最終的な本番環境のこともある。
伝統的な運用インベントリの維持管理に代わり、自動資産検出とBoM 作成へと移行していくことは、コンテナを使用したセキュリティ制御の適用、オーケストレーション、コードとしてのインフラストラクチャのスキャンなど、「シフト?エブリウェア」のアクティビティを追加することを包含する。「運用BoM（Bill of Materials）を使用してアプリケーション?インベントリを強化する」、「コンテナと仮想環境にオーケストレーションを使用する」、「資産の自動生成を監視する」などのBSIMM アクティビティを実施する企業が増えているのは、いずれもこうしたトレンドの現れといえる。
シノプシス ソフトウェア?インテグリティ?グループ ジェネラル?マネージャー Jason Schmittは、次のように述べている。「2008年の開始以来、BSIMM調査に携わったコンサルタント、リサーチ、およびデータ分析の専門家が、ソフトウェア?セキュリティ対策として企業/団体が実施している様々なアプローチに関するデータを収集してきました。BSIMMに参加している企業/団体のソフトウェア?セキュリティ?グループの平均年数は4.4年であり、BSIMM結果からは、彼らが最新のソフトウェア開発ならびに展開に観られるダイナミックな変化に対応するためのアプローチを実践している様が伺えます。この情報を用いて、企業/団体はイノベーションを損なうことなく、自組織とその顧客を保護するために自らの戦略を適応させることができます」
BSIMM12 2021 インサイト＆トレンド?レポートは下記より入手可能。
ブログには以下よりアクセス可能。
/blogs/software-security/ja-jp/bsimm-trends-and-recommendations/?cmp=pr-sig&utm_medium=referral
叠厂滨惭惭12の调査结果についてのインタラクティブな议论は、下记オンラインセミナー（10月21日开催）にて视聴可能。
谢辞
過去13年近くにわたって実施してきたソフトウェア?セキュリティ?リサーチを通じて収集したデータを分析しBSIMM12を執筆したシノプシスのプリンシパル?サイエンティストであるSammy Migues、同マネージング?プリンシパル Eli Erlikhman、同プリンシパル?セキュリティ?コンサルタント Jacob Ewers、ならびにGemini社のアプリケーション?セキュリティ担当ディレクターのKevin Nassery氏、そしてBSIMMに参加いただいた下記の企業/団体に深く感謝申し上げます。
AARP, Adobe, Aetna, Alibaba, Ally Bank, Autodesk, Axway, Bank of America, Bell, Black Knight Financial Services, Canadian Imperial Bank of Commerce, Cisco, Citigroup, Depository Trust & Clearing Corporation, Eli Lilly, eMoney Advisor, EQ Bank, Equifax, F-Secure, Fannie Mae, Finastra, Freddie Mac, Genetec, Global Payments, HCA Healthcare, Highmark Health 草榴社区, Honeywell, HSBC, iPipeline, Johnson & Johnson, Landis+Gyr, Lenovo, MassMutual, McKesson, Medtronic, MediaTek, Morningstar, Navient, Navy Federal Credit Union, NCR, NEC Platforms, NetApp, NewsCorp, NVIDIA, Oppo, PayPal, Pegasystems, Principal Financial Group, RB, SambaSafety, ServiceNow, 草榴社区, TD Ameritrade, Teradata, The Home Depot, The Vanguard Group, Trainline, Trane, U.S. Bank, Veritas, Verizon Media.
叠厂滨惭惭について
2008年に开始された叠厂滨惭惭（セキュア开発成熟度モデル）は、ソフトウェア?セキュリティ?イニシアティブを作成し、测定し、评価するツールだ。200以上のソフトウェア?セキュリティ?イニシアティブの注意深い调査/分析により开発された、データ駆动型モデルならびに测定ツールである叠厂滨惭惭12は、128社の公司/団体から収集した现実のデータからなっている。叠厂滨惭惭は、ソフトウェア?セキュリティ?プラクティスに基づくフレームワークを含むオープン?スタンダードであり、自社のソフトウェア?セキュリティの取り组みを评価し成熟させるために活用されている。详细は、/箩辫にて确认できる。
シノプシス ソフトウェア?インテグリティ?グループについて
シノプシスのソフトウェア?インテグリティ?グループは、開発チームが安全で高品質のソフトウェアを構築し、リスクを最小限に抑えながら開発スピードと生産性を最大化することを支援している。アプリケーション?セキュリティのリーディング?カンパニーとして認められているシノプシスは、静的解析、ソフトウェア?コンポジション解析、および動的解析ソリューションを提供し、チームが独自開発しているコード、オープンソース?コンポーネント、およびアプリケーションの動作の中に潜む脆弱性や不具合をすばやく特定/修正できるようにする。业界をリードするツール、サービス、ならびに専門技術の組み合わせにより、企業/団体がDevSecOpsの中で、またソフトウェア開発ライフサイクルを通じて、セキュリティと品質を最適化できるよう支援している企業はシノプシスのみである。
详细な情报は、/ja-jp/software-integrity.htmlより入手可能。
シノプシスについて
草榴社区.（Nasdaq上場コード:SNPS）は、我々が日々使用しているエレクトロニクス機器やソフトウェア製品を開発する先進企業のパートナーとして、半導体设计からソフトウェア開発に至る領域（Silicon to Software）をカバーするソリューションを提供している。電子设计自動化（EDA）ソリューションならびに半導体设计資産（IP）のグローバル?リーディング?カンパニーとして長年にわたる実績を持ち、业界で最も広範囲をカバーしたアプリケーション?セキュリティ?テスティング?ソリューションならびにサービスを提供しているS&P 500カンパニーである。シノプシスは、最先端の半導体を開発しているSoC（system-on-chip）设计者、よりセキュアでハイ?クオリティなコードを開発しているソフトウェア開発者に、革新的製品の開発に欠かせないソリューションを提供している。
详细情报は、/ja-jpより入手可能。
# # #
草榴社区は、草榴社区.の登録商標または商標です。
その他の商标や登録商标は、それぞれの所有者の知的财产です。
＜お问い合わせ先＞
日本シノプシス合同会社 ソフトウェア?インテグリティ?グループPR事務局
（井之上パブリックリレーションズ内）
担当：塚田?渡辺
贰尘补颈濒：synopsys@inoue-pr.com