ベスト オブ ザ ブランチAppSecのリーダーたちが知恵を出し合う

2019年06月05日掲載
ピーテル・ダンヒョウ著
ケーススタディ

ベスト オブ ザ ブランチAppSecのリーダーたちが知恵を出し合う

2019年06月05日掲載
ピーテル・ダンヒョウ著
リソースを見る
リソースを見る

私は、AppSecのプロフェッショナルとしてのキャリアを通じて、業界で最も素晴らしい才能を持つ人々と出会い、ネットワークを築くことができました。これらの人々は、世界で増え続けるコードの網のセキュリティと強化に貢献しています。現在、私は、ソフトウェアセキュリティの未来のスターたちに話をするよう依頼されることが多く、この仕事が大好きです。しかし、背伸びして自分の役割を果たそうとしている人たちにとって、リーダーやメンターとして目に見える存在であることがどれほど重要かということも理解しています。

最近、私はチームの何人かとロンドンにいました。 Secure Code Warriorこのイベントは、一握りのAppSecのスーパースターを集めて、ネットワーキング、洞察力、そしてお菓子を食べてもらうことを目的としています。60人以上の招待客を前に、彼らは専門家パネルの一員として豊富な専門知識を伝授し、アプリケーションセキュリティの未来について皆を興奮させました。

パネルディスカッションでは、組織のAppSec予算を最大限に活用する方法など、話題性のある問題が取り上げられ、会場からはいくつかの質問が出されました。パネルディスカッションでは、セキュリティマネージャーやスペシャリスト、開発者が組織内で実行可能なプログラムを構築する上で、間違いなく役立つ本物のモーニングマジックが披露されました。

パネルディスカッション「Tools Vs. People」では、以下のリーダーをお迎えすることができました。Your AppSec Budget Is Adequate Addressing Both?

各講演者は、AppSecツールの現状について、それぞれの考えを述べました(ネタバレになりますが、多くの組織が非常に多くのソフトウェアを生成しているため、必要な機能をすべて実行するツールを選択するのは地雷原のようなものです。結局のところ、単一のツールですべてをカバーすることはできません。)

Reena Shahも興味深い指摘をしています。わずか数年の間に、大企業におけるAppSecに対する認識が好転し、セキュリティのベストプラクティスと文化を維持するための人材への投資という重要な要素が形作られ始めています。

"変化している "と思います。私が4年前にこの仕事を始めたとき、セキュリティ文化や意識の向上のために予算やチームを確保するのは本当に大変でした。しかし今では、それは私の課題ではなくなりました。リスクを減らすためには、これだけの予算が必要で、これだけの人材が必要だ」と言うのはとても簡単なことです。これは、取締役会や経営陣が、セキュリティインシデントを減らすために資金を提供することがいかに重要かを理解しているからだと思います」。と語っています。

パネルの様子は今すぐご覧いただけます。

これからのAppSecは、最前線の開発者に適切なトレーニングと知識を提供することに重点を置き、いまだに頭をもたげる昔ながらの脆弱性に対して強固な防御を形成できるようになると考えると、私にとっては非常に新鮮なことです。

ツールも一つのサポートにはなりますが、そろそろ現実を直視しなければなりません。同じ過ちを繰り返さないようにしなければなりません。

AppSecのエラーループを閉じる

また、Leaders in AppSecブランチの一環として、同じセキュリティ脆弱性が何度も出現するという、コストのかかる継続的な問題にどのように対処すればよいかについてプレゼンテーションを行いました。ツールは脆弱性を見つけることはできても、それを防ぐことはできません。開発者が適切なトレーニングを受けて、最初から脆弱性の発生を防ぐ必要があります。

そして、私たち開発者はおかしな集団です。エンゲージメントとリテンションに関しては、あるトレーニングは他のトレーニングよりもはるかに効果的です。私のプレゼンテーションはこちらでご覧いただけます。

セキュリティトレーニング、一般的な認識、開発者とAppSecの間の積極的な文化を重視することは、攻撃者にとっては急所のようなものです。セキュリティのスーパーヒーローたちが協力して、セキュリティをソフトウェアの品質と同義語にしているのです。

少しずつですが、確実にそうなっています。

リソースを見る
リソースを見る

著者

ピーテル・ダンヒユー

Pieter Danhieuxは、セキュリティコンサルタントとして12年以上の経験を持ち、SANSの主席講師として8年間、組織、システム、個人をターゲットにしてセキュリティの弱点を評価する方法に関する攻撃的なテクニックを教えている、世界的に有名なセキュリティエキスパートです。2016年には、オーストラリアで最もクールな技術者の一人として認められ(Business Insider)、Cyber Security Professional of the Yearを受賞(AISA - Australian Information Security Association)、GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA認定を保有している。

もっと知りたい?

セキュアコーディングに関する最新の知見をブログでご紹介しています。

当社の豊富なリソースライブラリは、安全なコーディングアップスキルに対する人間的なアプローチを強化することを目的としています。

ブログを見る
もっと知りたい?

開発者主導のセキュリティに関する最新の研究成果を入手する

ホワイトペーパーからウェビナーまで、開発者主導のセキュアコーディングを始めるために役立つリソースが満載のリソースライブラリです。今すぐご覧ください。

リソース・ハブ

ベスト オブ ザ ブランチAppSecのリーダーたちが知恵を出し合う

2024年1月22日発行
Pieter Danhieux著

私は、AppSecのプロフェッショナルとしてのキャリアを通じて、業界で最も素晴らしい才能を持つ人々と出会い、ネットワークを築くことができました。これらの人々は、世界で増え続けるコードの網のセキュリティと強化に貢献しています。現在、私は、ソフトウェアセキュリティの未来のスターたちに話をするよう依頼されることが多く、この仕事が大好きです。しかし、背伸びして自分の役割を果たそうとしている人たちにとって、リーダーやメンターとして目に見える存在であることがどれほど重要かということも理解しています。

最近、私はチームの何人かとロンドンにいました。 Secure Code Warriorこのイベントは、一握りのAppSecのスーパースターを集めて、ネットワーキング、洞察力、そしてお菓子を食べてもらうことを目的としています。60人以上の招待客を前に、彼らは専門家パネルの一員として豊富な専門知識を伝授し、アプリケーションセキュリティの未来について皆を興奮させました。

パネルディスカッションでは、組織のAppSec予算を最大限に活用する方法など、話題性のある問題が取り上げられ、会場からはいくつかの質問が出されました。パネルディスカッションでは、セキュリティマネージャーやスペシャリスト、開発者が組織内で実行可能なプログラムを構築する上で、間違いなく役立つ本物のモーニングマジックが披露されました。

パネルディスカッション「Tools Vs. People」では、以下のリーダーをお迎えすることができました。Your AppSec Budget Is Adequate Addressing Both?

各講演者は、AppSecツールの現状について、それぞれの考えを述べました(ネタバレになりますが、多くの組織が非常に多くのソフトウェアを生成しているため、必要な機能をすべて実行するツールを選択するのは地雷原のようなものです。結局のところ、単一のツールですべてをカバーすることはできません。)

Reena Shahも興味深い指摘をしています。わずか数年の間に、大企業におけるAppSecに対する認識が好転し、セキュリティのベストプラクティスと文化を維持するための人材への投資という重要な要素が形作られ始めています。

"変化している "と思います。私が4年前にこの仕事を始めたとき、セキュリティ文化や意識の向上のために予算やチームを確保するのは本当に大変でした。しかし今では、それは私の課題ではなくなりました。リスクを減らすためには、これだけの予算が必要で、これだけの人材が必要だ」と言うのはとても簡単なことです。これは、取締役会や経営陣が、セキュリティインシデントを減らすために資金を提供することがいかに重要かを理解しているからだと思います」。と語っています。

パネルの様子は今すぐご覧いただけます。

これからのAppSecは、最前線の開発者に適切なトレーニングと知識を提供することに重点を置き、いまだに頭をもたげる昔ながらの脆弱性に対して強固な防御を形成できるようになると考えると、私にとっては非常に新鮮なことです。

ツールも一つのサポートにはなりますが、そろそろ現実を直視しなければなりません。同じ過ちを繰り返さないようにしなければなりません。

AppSecのエラーループを閉じる

また、Leaders in AppSecブランチの一環として、同じセキュリティ脆弱性が何度も出現するという、コストのかかる継続的な問題にどのように対処すればよいかについてプレゼンテーションを行いました。ツールは脆弱性を見つけることはできても、それを防ぐことはできません。開発者が適切なトレーニングを受けて、最初から脆弱性の発生を防ぐ必要があります。

そして、私たち開発者はおかしな集団です。エンゲージメントとリテンションに関しては、あるトレーニングは他のトレーニングよりもはるかに効果的です。私のプレゼンテーションはこちらでご覧いただけます。

セキュリティトレーニング、一般的な認識、開発者とAppSecの間の積極的な文化を重視することは、攻撃者にとっては急所のようなものです。セキュリティのスーパーヒーローたちが協力して、セキュリティをソフトウェアの品質と同義語にしているのです。

少しずつですが、確実にそうなっています。

弊社製品や関連するセキュアコーディングのトピックに関する情報をお送りする許可をお願いします。当社は、お客様の個人情報を細心の注意を払って取り扱い、マーケティング目的で他社に販売することは決してありません。

フォームを送信するには、「Analytics」のCookieを有効にしてください。完了したら、再度無効にしてください。