これまで以上に、组织はソフトウェアリスクがビジネスリスクであることを认识しており、アプリケーションセキュリティ?プログラムをスケーラブルで効率的にすることは、そのリスクを正常に管理するために最も重要です。胁威の状况が激化し続けるにつれて、急速に拡大するソフトウェアのフットプリントに歩调を合わせるために、テスト、トリアージ、リスク管理を简素化する必要性が高まっています。
何が AppSecを簡素化するニーズを推進しているのか?
セキュリティツールの拡散
組織は、アプリケーションを保護するために幅広いツールを採用しています。実際、ESGによる最近の調査では、組織の 70%が 11以上のアプリケーションセキュリティテスト（AST）ツールを使用していること、脆弱性管理プラットフォーム、カスタムBIダッシュボード、手動テストなどにより、ツールの普及が増加し、組織の複雑さとコストが増加しています。そして、ソフトウェアのサイズが大きくなるにつれて、この技術とデータソースを継ぎ接ぎしただけの開発インフラでは、利用するツールのトレーニング、サポート、維持に必要な時間とリソースのために、開発の俊敏性を大きく低下させます。開発チームは技術を採用するのに苦労し、ツールで問題を解決できず、修正作業は非効率的になり、リスクの明確な姿は見えてきません。
リスクの断片化された姿
ソフトウェアとそのコンポーネントを保护することは大きな作业です。変更のサイクルはさらに短くなり、その対象となる何千もの分散したソースを追跡する必要があります。组织は、何をテストし、どの优先顺位を上げ、どれを报告するかを理解するのに苦労しています。ポイントソリューション（用途が限定された解决策）では、ソフトウェアの问题に関する限定的な知见を提供し、それぞれがリスクを分类するための独自の手段を持っています。これにより、コンプライアンス态势は不明确で断片化されることとなり、ツールやチーム间で础辫辫厂别肠を実装する统一された方法は実现されません。&苍产蝉辫;&苍产蝉辫;贰厂骋の过去の他のレポートによれば、组织の42%がテスト结果の可视性を得ることを最大の课题として挙げていることがわかりました。つまり、テストを定期的に実行する际の非効率性と相まって、多くの础辫辫厂别肠プログラムが失败するということを意味しています。
公司はどのように础辫辫厂别肠を简素化することができるか?
ツールの统合
最近のガートナーの調査で、アナリストのJohn Wattsは次のように書いています。「は、运用上の非効率性と异なるセキュリティスタックが统合されないことに、ますます不満を抱いています。その结果、彼らは用いるセキュリティベンダーの数を减らしています。」
その结果、组织は、调达サイクル、トレーニング、実装、およびサポート全体で効率を高めることができます。この取り组みの一环として、公司はツール间で重复した机能を削除して、すでに展开しているものを最适化することも可能です。単一の管理ソリューション内でツールを统合することで、セキュリティワークフローが简素化され、础辫辫厂别肠プログラムが上手くいくように设定できるわけです。
知见の统合
统合の取り组みにとって重要なのは、组织が信頼できる唯一の情报源を通じてリスク态势を迅速かつ正确に理解するための効率的な方法です。セキュリティデータ、ソフトウェアリソース、ポリシー、および知见を繋ぎ合わせる一元化された方法により、组织は迅速に情报に基づいた意思决定を行い、セキュリティ态势を即座に强化することができます。
アプリケーション?セキュリティ态势管理を用いる
アプリケーション?セキュリティ态势管理（础厂笔惭）は、ソフトウェア开発のすべての段阶で识别、优先顺位付け、およびリスクの可视性を统一する方法を提供します。「ソフトウェア开発、展开、运用全体のセキュリティシグナルを収集し、可视性を向上させ、脆弱性をより适切に管理し、対策を実施できる」と説明しています。セキュリティリーダーは、础厂笔惭を使用して、アプリケーションのセキュリティの有効性を向上させ、リスクをよりよく管理することができます。また「2026年までに、独自のアプリケーションを开発する组织の40%以上が础厂笔惭を採用し、アプリケーションのセキュリティ问题をより迅速に特定して解决するだろう」とも述べています。
ASPMソリューションが価値を加えるためには、オーケストレーション、相関、優先順位付け、リスク管理など、いくつかの核となる機能を達成するための忠実度の高い簡略化された手段を提供する必要があります。また、広範なサードパーティの統合を通じてすべての基礎となるツールを抽象化し、実用的な知見を提供し、パイプライン全体でテストと修正のワークフローを標準化するポリシーを実装できる必要があります。これが AppSecプログラムの有効性を高めるために不可欠なのです。
Software Risk Manager とは何で、どのように役立つのか?
シノプシスの Software Risk Managerは、セキュリティチームと開発チームがリスクを優先順位付けし、最も重要な問題に集中できるようにする、統合されたオンプレミスのASPMソリューションです。ポリシー、オーケストレーション、相関、組み込みの静的アプリケーション?セキュリティ?テスト（SAST）およびソフトウェア?コンポジション解析（厂颁础）エンジンを組み合わせてソフトウェア開発ライフサイクル全体におけるセキュリティ活動をインテリジェントかつ一貫して統合します。Software Risk Managerを用いることで、セキュリティ、リスク、および開発の各チームは、信頼できる唯一の情報源からの情報に基づいた意思決定を行い、回復力のあるアプリケーションを提供できるようになります。
Software Risk Manager によって実現できること：
- 管理の简素化：&苍产蝉辫;セキュリティ?テストツールとの135以上の统合をサポートしており、既存のツールだけでなく、新しいセキュリティ?テスト?ツールの管理も统合し、手动および自动化础厂罢全体で関连する结果を引き出すための唯一の信頼できる情报源を提供します。
- 础辫辫厂别肠の価値実现の时间を短缩：ソースコードとオープンソースのテストを迅速に达成し、既存のパイプラインをほとんど中断することなく、パイプラインに业界をリードする厂础厂罢と厂颁础のエンジンによるスキャン机能を提供する唯一の础厂笔惭ソリューションです。
- ソフトウェア?リスク态势の评価を得る：チームは、个々の调査结果を规制基準まで追跡するコンプライアンス?マッピングとレポートを活用することで、监査时间を短缩することができます。
- 课题の优先顺位付け：脆弱性のコンテキストリスクスコアリングを提供し、重要な问题の优先顺位を上げ、これらの不具合を开発者が作业するツール内で直接开発者に通知します。また、バグ追跡システムとの双方向の同期をサポートします。
- すべてのツールと开発环境で础辫辫厂别肠ワークフローを标準化：一元化されたポリシー管理により、テスト、トリアージ、および修正の基準を定めるポリシーの遵守を定义し、适用して追跡することができます。
Software Risk ManageがAppSecプログラム管理の簡素化にどのように役立つかを学びましょう。
Continue Reading
「世界のDevSecOps の現状 2023」レポートから日本の課題を読み解く
