SecDevOps モデルアプリケーション – 組織向け情報セキュリティソリューション

[広告_1]

2024 年 11 月 29 日、MISA の代表者は、BIDV Insurance - BIC が主催したワークショップ「DevSecOps について学ぶ - テクノロジーとセキュリティ管理ソリューション」で、組織の情報セキュリティを向上させるための SecDevOps 文化の構築に関する実践的な経験を共有しました。

ワークショップには、情報技術と情報セキュリティの分野を代表する専門家が参加しました。 MISA側からは、情報セキュリティ担当ディレクターのNguyen Quang Hoang氏、情報セキュリティ部門責任者のBui Duc Truong氏が参加しました。

ワークショップの枠組みの中で、MISA 情報セキュリティ部門の責任者である Bui Duc Truong 氏が SecDevOps モデルを紹介し、情報セキュリティと安全性の意識を高める組織を支援するために SecDevOps を製品に適用した経験を共有しました。

2022 年 11 月から 2023 年 1 月までの Paloalto Network の共通脆弱性識別子 (CVE) 割り当てカタログによると、安全でないプログラミングが原因でアプリケーションに脆弱性が頻繁に出現します。したがって、組織はソフトウェア製品の開発プロセス全体にセキュリティを統合する必要があります。具体的には、SecDevOps モデルをソフトウェアに適用して製品開発プロセスをスピードアップし、ソースコードの脆弱性を 40 ～ 50% 削減すると、CIO Insight の James Rutt 氏は言います。

2022 年 11 月から 2023 年 1 月までの CVE の脆弱性割り当てリスト。

SecDevOps は、DevSecOps と同様に、セキュリティ、開発、運用を組み合わせた開発モデルです。ただし、重要な違いは、SecDevOps では、セキュリティがすべての個人の考え方とソフトウェア開発プロセスのあらゆるステップにおいて最優先される点です。さらに、このモデルは「ワンチーム」の作業プロセスと文化を促進し、個人が緊密に連携してセキュリティが常に優先されるようにするのに役立ちます。

組織は、人材、プロセス、テクノロジーの 3 つの要素に密接に SecDevOps を適用する必要があります。

SecDevOps モデルを効果的に適用するには、組織は人材、プロセス、テクノロジーの 3 つの要素を厳密に適用する必要があります。人材の面では、組織は情報セキュリティチームのスキルを向上させ、セキュリティチームと DevOps チームを連携させ、プログラミングトレーニングと安全な展開を提供する必要があります。プロセスに関しては、組織はセキュアソフトウェア開発ライフサイクル (SSDLC) モデルを適用して安全なソフトウェアを開発できます。テクノロジーの面では、組織は次のセキュリティ手法とツールを使用して、セキュリティの脆弱性を検出し、対処することができます。静的分析 (SAST)。動的解析（DAST）インタラクティブ分析（IAST）ソフトウェア構成分析 (SCA)。

トゥルオン氏によると、ソフトウェア開発プロセスの後の段階で脆弱性が現れないようにするために、プログラマーはセキュリティ意識と安全なプログラミングについて訓練を受ける必要があるという。