明らかに：サイバー業界がセキュア・バイ・デザインを定義する方法

企業が製品開発プロセスにセキュア・バイ・デザインの原則を組み込む必要があることは、コンプライアンスのためだけでなく、重要なビジネス要件としてますます明確になってきている。このガイドラインは、企業が製品を市場に投入する前に、その製品に悪用可能な欠陥を特定し、緩和するためのものです。このガイドラインを単なる追加ではなく、基礎的な柱として扱う組織が、この原則に従って構築した製品は、競争が激化する市場で優位に立つ傾向があります。 

しかし、米国政府のサイバーセキュリティ・インフラストラクチャ・セキュリティ局（CISA）がセキュア・バイ・デザイン・ガイドラインを発表してから2年が経つが、実際の実運用はいまだに業界全体のパズルであり、解決に苦慮している。これらの原則が重要であることは誰もが知っているが、どうすれば効果的に大規模に実装できるのだろうか？

最新のホワイトペーパーでは、当社の共同創設者であるピーテル・ダニュー（Pieter Danhieux）氏とマティアス・マドゥ（Matias Madou）博士が、CISO、AppSecリーダー、セキュリティ専門家を含む20人以上の企業セキュリティリーダーと対談し、このパズルの重要なピースを見つけ出し、Secure by Design運動の背後にある現実を明らかにしました。セキュア・バイ・デザインは、セキュリティ・チーム全体で共有された野心であるが、共有されたプレイブックはない。 

主な発見をいくつかご紹介しよう：

• しかし、セキュア・バイ・デザインは、ある意味で解釈の自由があり、それを実施するための業界全体の標準的なアプローチは存在しない。

• 脅威モデリングは、単にコンプライアンス・チェックリストにチェックを入れるだけのものではなく、セキュリティに精通した開発者とそのAppSec担当者が、悪用される前にリスクに先手を打つための重要かつ一貫した実践方法である。 

• AIという諸刃の剣 - AIは画期的であると同時に、攻撃対象領域を大幅に拡大する強力なセキュリティ・リスクでもある。その爆発的な成長により、急速に進化するリスクが導入され、未熟な開発者やリソース不足のAppSecチームは、その軽減に苦慮することが多い。

問題は、セキュアバイデザインの原則を適用することの重要性に対する理解の欠如ではない。むしろ、セキュアなソフトウェアの必要性は、基礎的な必要性と基本的な期待となっている。欠けているのは、この原則をソフトウェア開発ライフサイクル全体に組み込むための、協調的でスケーラブルな戦略である。 

また、展開の成功を判断するための明確なベンチマークや測定可能な成果も不足しているようだ。これらがなければ、チームは自分たちの取り組みが本当に効果を上げているのかどうか、推測の域を出ない。今のところ、私たちは一致団結した戦線を持っているようだが、共有された戦略はない。 

セキュア・バイ・デザインは不可欠であり、避けられないものである。開発者もまた、負担を強いられるのではなく、力を与えられなければならない。適切なスキル、ツール、サポートが備われば、開発者は本来、単なる構築者ではなく、最も重要なところ、つまりソースにセキュリティを組み込む防御者となる。 

今すぐダウンロード 強力な開発者リスク管理戦略と正確な測定を活用して、企業内で統一されたセキュア・バイ・デザインの取り組みを成功に導く方法をご覧ください。