BSIMM14：ソフトウェアのセキュリティ・プログラムの改善に役立つトレンドと推奨事項

セキュリティはどのように変化しているか

BSIMMレポートは、サイバー犯罪の進化に対応したソフトウェアセキュリティのトレンドを反映しています。 BSIMM14で指摘されているトップトレンドの1つは、自動化への注目が高まっていることであり、組織は最新のツールチェーンで利用できる使いやすく強力な自動化を利用して、セキュリティテストとタッチポイントを更新しています。 これにより、単に左にシフトするのではなく、ソフトウェア開発ライフサイクル (SDLC) を通じてセキュリティをあらゆる場所にシフトできるようになります。

自動化によりセキュリティタスクが容易になると、自動化されたアクティビティに関するトレンドが現れます。 たとえば、最新のツールチェーンを使用すると、開発プロセスの初期段階で行われる静的アプリケーション・セキュリティ テスト (SAST) のスキャンと同様に、QA段階でのセキュリティテストを自動化できます。 「シフトエブリウェア」というテスト哲学を採用したセキュリティチームは、パイプラインが自動セキュリティテストの結果に基づいてスクリプト化されたアクションを実行できることに気づきました。 また、企業は自動化を利用して、SDLC全体のセンサーによって提供されるインテリジェンスをより適切に収集して使用し、開発者にとって問題になる前に脆弱性を予防的に防止しています。

BSIMM におけるソフトウェア・セキュリティの 4 つのトレンド

• 「シフトレフト」から「シフトエブリウェア」への移行の継続
  「シフトレフト」という呪文は、初期の BSIMMレポートによって作られた用語であり、組織がSDLCにおけるセキュリティテストを早期に開始することを奨励することを目的としていましたが、シフトのみを意味するものではありませんでした。しかし、シフトエブリウェアは哲学で、許容範囲内で安全なソフトウェアを一貫して実現することが共同の責任であるという現実を認識したセキュリティガバナンスへのアプローチです。各利害関係者は、実行する独自のビジネスプロセスを持っていますが、それぞれが独自のバージョンのセキュリティ・サインオフを実行する必要もあります。これには、SDLCツールチェーンからの理解可能で使用可能な計測手段が必要です。
• セキュリティの範囲を拡大する
  政府の規制やサプライチェーンの脅威の増加などの外部からの圧力により、組織はリスク管理を外部ソースから統合するソフトウェア、開発者が使用するツールチェーン、および運用環境に存在するソフトウェアにまで拡張するようになりました。
• 製品固有のセキュリティを実装する
  集中的なソフトウェアセキュリティへの取り組みを、アプリケーションやソフトウェアセキュリティではなく、製品セキュリティプログラムと呼び始めている製品会社が増えています。 この命名の傾向は（プライベート・データセンター内のアプリケーションと比較して）数年から数十年にわたって過酷な環境に存在するソフトウェアに関連するリスクを管理するセキュリティプログラムを製品ベンダーが作成していることと相関しているようです。
• セキュリティ・チャンピオン・プログラムの継続的な強調
  BSIMMレポートによって提供されてきた最も古い知見は、セキュリティ・チャンピオン・プログラムを構築して運用する決定が、BSIMMスコアの合計に測定可能な影響を与える、というものです。BSIMM14では、セキュリティ・チャンピオン・プログラムを導入している企業は、導入していない企業よりも平均で25%高いスコアを獲得しています。