ベスト オブ ザ ブランチAppSecのリーダーたちが知恵を出し合う
私は、AppSecのプロフェッショナルとしてのキャリアを通じて、業界で最も素晴らしい才能を持つ人々と出会い、ネットワークを築くことができました。これらの人々は、世界で増え続けるコードの網のセキュリティと強化に貢献しています。現在、私は、ソフトウェアセキュリティの未来のスターたちに話をするよう依頼されることが多く、この仕事が大好きです。しかし、背伸びして自分の役割を果たそうとしている人たちにとって、リーダーやメンターとして目に見える存在であることがどれほど重要かということも理解しています。
最近、私はチームの何人かとロンドンにいました。 Secure Code Warriorこのイベントは、一握りのAppSecのスーパースターを集めて、ネットワーキング、洞察力、そしてお菓子を食べてもらうことを目的としています。60人以上の招待客を前に、彼らは専門家パネルの一員として豊富な専門知識を伝授し、アプリケーションセキュリティの未来について皆を興奮させました。
パネルディスカッションでは、組織のAppSec予算を最大限に活用する方法など、話題性のある問題が取り上げられ、会場からはいくつかの質問が出されました。パネルディスカッションでは、セキュリティマネージャーやスペシャリスト、開発者が組織内で実行可能なプログラムを構築する上で、間違いなく役立つ本物のモーニングマジックが披露されました。
パネルディスカッション「Tools Vs. People」では、以下のリーダーをお迎えすることができました。Your AppSec Budget Is Adequate Addressing Both?
- ソシエテジェネラル、CISO、ヴィンセント・ギルバート氏
- Cetome社、CEO、C̩̩̩Levy-B̩ncheton氏
- Reena Shah, Head of Security & Privacy Culture and Awareness,M&G Prudential
- ピアソン社、グローバルAppSecディレクター、Lee Thurlow氏
- Bramfitt Lab.マネージング・ディレクターのLewis Bramfitt氏。
各講演者は、AppSecツールの現状について、それぞれの考えを述べました（ネタバレになりますが、多くの組織が非常に多くのソフトウェアを生成しているため、必要な機能をすべて実行するツールを選択するのは地雷原のようなものです。結局のところ、単一のツールですべてをカバーすることはできません。)
Reena Shahも興味深い指摘をしています。わずか数年の間に、大企業におけるAppSecに対する認識が好転し、セキュリティのベストプラクティスと文化を維持するための人材への投資という重要な要素が形作られ始めています。
"変化している "と思います。私が4年前にこの仕事を始めたとき、セキュリティ文化や意識の向上のために予算やチームを確保するのは本当に大変でした。しかし今では、それは私の課題ではなくなりました。リスクを減らすためには、これだけの予算が必要で、これだけの人材が必要だ」と言うのはとても簡単なことです。これは、取締役会や経営陣が、セキュリティインシデントを減らすために資金を提供することがいかに重要かを理解しているからだと思います」。と語っています。
パネルの様子は今すぐご覧いただけます。
これからのAppSecは、最前線の開発者に適切なトレーニングと知識を提供することに重点を置き、いまだに頭をもたげる昔ながらの脆弱性に対して強固な防御を形成できるようになると考えると、私にとっては非常に新鮮なことです。
ツールも一つのサポートにはなりますが、そろそろ現実を直視しなければなりません。同じ過ちを繰り返さないようにしなければなりません。
AppSecのエラーループを閉じる
また、Leaders in AppSecブランチの一環として、同じセキュリティ脆弱性が何度も出現するという、コストのかかる継続的な問題にどのように対処すればよいかについてプレゼンテーションを行いました。ツールは脆弱性を見つけることはできても、それを防ぐことはできません。開発者が適切なトレーニングを受けて、最初から脆弱性の発生を防ぐ必要があります。
そして、私たち開発者はおかしな集団です。エンゲージメントとリテンションに関しては、あるトレーニングは他のトレーニングよりもはるかに効果的です。私のプレゼンテーションはこちらでご覧いただけます。
セキュリティトレーニング、一般的な認識、開発者とAppSecの間の積極的な文化を重視することは、攻撃者にとっては急所のようなものです。セキュリティのスーパーヒーローたちが協力して、セキュリティをソフトウェアの品質と同義語にしているのです。
少しずつですが、確実にそうなっています。
ピーテル・ダンヒユー
Pieter Danhieuxは、セキュリティコンサルタントとして12年以上の経験を持ち、SANSの主席講師として8年間、組織、システム、個人をターゲットにしてセキュリティの弱点を評価する方法に関する攻撃的なテクニックを教えている、世界的に有名なセキュリティエキスパートです。2016年には、オーストラリアで最もクールな技術者の一人として認められ（Business Insider）、Cyber Security Professional of the Yearを受賞（AISA - Australian Information Security Association）、GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA認定を保有している。
始めるためのリソース
信託代理人Secure Code Warrior
SCW Trust Agentは、開発者のセキュアコードに関する知識とスキルを、開発者がコミットする作業と整合させることで、セキュリティを強化するように設計された革新的なソリューションです。SCW Trust Agentは、開発者のセキュアコードプロファイルに照らし合わせて各コミットを分析し、組織のコードリポジトリ全体にわたって包括的な可視化と制御を提供します。SCW Trust Agentにより、企業はセキュリティ体制を強化し、開発ライフサイクルを最適化し、開発者主導のセキュリティを拡大することができます。
始めるためのリソース
.webp)
ベスト オブ ザ ブランチAppSecのリーダーたちが知恵を出し合う
私は、AppSecのプロフェッショナルとしてのキャリアを通じて、業界で最も素晴らしい才能を持つ人々と出会い、ネットワークを築くことができました。これらの人々は、世界で増え続けるコードの網のセキュリティと強化に貢献しています。現在、私は、ソフトウェアセキュリティの未来のスターたちに話をするよう依頼されることが多く、この仕事が大好きです。しかし、背伸びして自分の役割を果たそうとしている人たちにとって、リーダーやメンターとして目に見える存在であることがどれほど重要かということも理解しています。
最近、私はチームの何人かとロンドンにいました。 Secure Code Warriorこのイベントは、一握りのAppSecのスーパースターを集めて、ネットワーキング、洞察力、そしてお菓子を食べてもらうことを目的としています。60人以上の招待客を前に、彼らは専門家パネルの一員として豊富な専門知識を伝授し、アプリケーションセキュリティの未来について皆を興奮させました。
パネルディスカッションでは、組織のAppSec予算を最大限に活用する方法など、話題性のある問題が取り上げられ、会場からはいくつかの質問が出されました。パネルディスカッションでは、セキュリティマネージャーやスペシャリスト、開発者が組織内で実行可能なプログラムを構築する上で、間違いなく役立つ本物のモーニングマジックが披露されました。
パネルディスカッション「Tools Vs. People」では、以下のリーダーをお迎えすることができました。Your AppSec Budget Is Adequate Addressing Both?
- ソシエテジェネラル、CISO、ヴィンセント・ギルバート氏
- Cetome社、CEO、C̩̩̩Levy-B̩ncheton氏
- Reena Shah, Head of Security & Privacy Culture and Awareness,M&G Prudential
- ピアソン社、グローバルAppSecディレクター、Lee Thurlow氏
- Bramfitt Lab.マネージング・ディレクターのLewis Bramfitt氏。
各講演者は、AppSecツールの現状について、それぞれの考えを述べました（ネタバレになりますが、多くの組織が非常に多くのソフトウェアを生成しているため、必要な機能をすべて実行するツールを選択するのは地雷原のようなものです。結局のところ、単一のツールですべてをカバーすることはできません。)
Reena Shahも興味深い指摘をしています。わずか数年の間に、大企業におけるAppSecに対する認識が好転し、セキュリティのベストプラクティスと文化を維持するための人材への投資という重要な要素が形作られ始めています。
"変化している "と思います。私が4年前にこの仕事を始めたとき、セキュリティ文化や意識の向上のために予算やチームを確保するのは本当に大変でした。しかし今では、それは私の課題ではなくなりました。リスクを減らすためには、これだけの予算が必要で、これだけの人材が必要だ」と言うのはとても簡単なことです。これは、取締役会や経営陣が、セキュリティインシデントを減らすために資金を提供することがいかに重要かを理解しているからだと思います」。と語っています。
パネルの様子は今すぐご覧いただけます。
これからのAppSecは、最前線の開発者に適切なトレーニングと知識を提供することに重点を置き、いまだに頭をもたげる昔ながらの脆弱性に対して強固な防御を形成できるようになると考えると、私にとっては非常に新鮮なことです。
ツールも一つのサポートにはなりますが、そろそろ現実を直視しなければなりません。同じ過ちを繰り返さないようにしなければなりません。
AppSecのエラーループを閉じる
また、Leaders in AppSecブランチの一環として、同じセキュリティ脆弱性が何度も出現するという、コストのかかる継続的な問題にどのように対処すればよいかについてプレゼンテーションを行いました。ツールは脆弱性を見つけることはできても、それを防ぐことはできません。開発者が適切なトレーニングを受けて、最初から脆弱性の発生を防ぐ必要があります。
そして、私たち開発者はおかしな集団です。エンゲージメントとリテンションに関しては、あるトレーニングは他のトレーニングよりもはるかに効果的です。私のプレゼンテーションはこちらでご覧いただけます。
セキュリティトレーニング、一般的な認識、開発者とAppSecの間の積極的な文化を重視することは、攻撃者にとっては急所のようなものです。セキュリティのスーパーヒーローたちが協力して、セキュリティをソフトウェアの品質と同義語にしているのです。
少しずつですが、確実にそうなっています。
