(ポルトガル語(ブラジル))現代のコンピューティングが始まって以来、セキュリティは、ソフトウェア開発からかけ離れた存在でした。最近の脆弱性に関する調査でも、このことは分かっています。過去5年間の公開されているすべての脆弱性のうち、76%はアプリケーションに由来するものでした。このように、攻撃者の狙う対象が大きく変わったことから、セキュリティを開発に組み込むべき時代が到来したと言えます。セキュリティ戦略です。「シフトレフト」セキュリティを非常に簡単に説明すると、「開発プロセスの可能な限り早期の段階にセキュリティ対策を移動させること」を意味します。最新のCI/CDにおいては、一般に、以下の図1で示されている8つのステップを踏みます。セキュリティは、サイバーリスクを低減するだけでなく、コスト削減の意味でも効果的です。Instituteによると、セキュリティ問題に設計段階で対処しておけば、実装段階で対処する場合と比べ、コストを6分の1に削減できます。同じ調査で、セキュリティ問題にテスト段階で対処する場合には、コストが15倍まで膨らむケースもあるということも判明しました。これらの各段階にセキュリティを意識的に組み込むには、まず、戦略を明確に定義するところから始める必要があります。セキュリティ戦略を定義するどのようなジャーニーでも、最初のステップは、どこを目指すかを定義することです。これはたとえるなら、チームのために可能な限り最も鮮明な絵を描くことで、成功のイメージをつかんでもらうのと同じです。この戦略文書に含めるべき重要な項目は、ビジョン、担当分けや責任範囲、マイルストーン、評価基準などです。戦略文書は時間をかけて成熟させていくべきものであり、完璧なものを作ろうとして時間をかけすぎないことが大切です。長期的に繰り返し見直していくことが不可欠です。セキュリティの実現を目指す取り組みの中で最も手ごわい課題の一つは、貴社の中で、ソフトウェアがどこでどのように作られているかを把握することでしょう。貴社の規模に応じて、このタスクは簡単な場合もあれば、困難を極める場合もあります。本ステップの目標は、最初に組織全体を見渡した後で、社内でソフトウェアを扱う全体的な流れを文書化することです。レベルからスタートし、次に個別の事業部門へと掘り下げていくのがよいでしょう。各事業部門で独自のソフトウェア開発プロセスやツールを持っている可能性が非常に高いと言えます。このフェーズで特定するべき主要な項目としては、誰がコードを開発するか(人)、開発用のラップトップから本番環境へどのように流れるか(プロセス)、そしてこのプロセスを実現するためにどのシステムを利用するか(テクノロジ)が挙げられます。これは「CI/CDツールチェーン」と呼ばれることもあります。クラウドで行われているでしょう。セキュリティの質と防壁を特定し、実装する品質保証は、ソフトウェア開発ライフサイクルの一部であり続けてきました。今まで、ソフトウェアの質には、セキュリティは含まれていませんでした。この点は変えていかなければいけません。上記のステップを踏んでいれば、これに取り組むための準備ができているはずです。ソフトウェア開発の各ステップは、フィードバックを提供し、セキュリティ問題を探すための機会でもあります。チームは、小さく始めるものです。シンプルかつ効果的なツールを開発チームに提供し、日常的な開発ルーチンの一部として使ってもらうことから開始します。このようなツールの一つが、最近、パロアルトネットワークスによってオープンソース化されました。無償で使えるということです。セキュリティ戦略に移行するジャーニーの一環として、第一に、コーディングの大部分を行う担当者が、セキュアなコードを作るようにしなければなりません。担当者の現在のスキルを評価する客観的な測定基準や、スキルを長期的かつ継続的に向上させる計画がなければ、これを実現するのは困難です。10のことをよく知らない」とのことで、この領域を見逃すべきではありません。プロバイダのGitLabが最近発表した調査です。プラクティスが「良い」と考えているプログラマーは25%にとどまりました。開発を構築、展開、実行のフェーズに簡素化した2つのシナリオを見ていきましょう。シナリオ1では、セキュリティ無しに開発が始まります。ソフトウェアの質は、ランタイムの最中にのみチェックされます。このケースでは、通常、脆弱性が見つかった場合、結果的にセキュリティ部門と開発部門の間で不穏な会話が交わされることになります。チームは、自組織内で開発プロセスについて理解することに時間をかけます。プロセスおよびツールをCI/CDに組み込む作業も行うため、結果としてセキュリティの質に関する防壁を自動化できます。セキュリティを実現するだけでなく、セキュリティと開発を統合するために、確実な道を歩むことができます。ジャーニーの一環としてシフトレフトに移行する際は、セキュリティ制御を自動化し、API駆動型にすることが重要です。チームは、パロアルトネットワークスのPrismaを利用すれば、DevOpsとCI/CDパイプラインのセキュリティを確保し、まさに上記を実現することができます。e-mail次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。