Secure SDLC Reviewガイド

Secure SDLC Reviewは、開発チームがソフトウェアをどのように構築、テスト、リリース、保守しているかを、各段階のセキュリティ上の考慮事項に注目して調べるものです。成果物は、優先順位を付けた実践的な改善点を含む、現在の取り組みについての書面の評価です。開発チームを急速に拡大した場合、開発手法を変えた場合、セキュリティ要件の厳しい大口顧客を獲得した場合、あるいはソフトウェア開発サイクルの中でセキュリティ上の懸念がどの程度理解され管理されているかをより明確に把握したい場合に役立つことが多くあります。思い込みに頼ったり、防げたはずの問題が表面化するのを待ったりするのではなく、チームの現状と、妥当な次のステップがどのようなものかを実践的に示します。

何であるのか

このレビューでは、貴社の開発チームが計画、設計、コーディング、テスト、リリース、継続的な保守の各段階で、現在セキュリティにどう取り組んでいるかを確認します。スコープは作業開始前に書面で確定します。選択するサービスに応じて、脅威モデリングや設計レビューの取り組み、コードレビューのプロセス、セキュリティテストツールの活用、依存関係の管理、シークレットの取り扱い、リリース承認の流れ、本番環境へのアクセス制御、インシデントへの備え、チーム内でのセキュリティ知識の共有方法などが含まれます。作業は証跡を評価し実際の業務の進め方を観察するためのものであり、個々の開発者を監査したり、開発スケジュールを妨げたりするものではありません。うまく機能していると見られる点、ギャップや不整合が観察された点、釣り合いのとれた次のステップを説明する体系的な報告書をお届けします。指摘事項は、技術系と非技術系の関係者が「優先すべき改善」「妥当な次の投資」「専門家の知見や別途の業務が必要になり得る懸念」の違いを理解できるよう整理されます。

誰のために

Secure SDLC Reviewは、次のような企業に適しています。

社内または委託の開発チームを抱えているものの、ソフトウェア開発の過程でセキュリティがどう考慮されているかについて正式なレビューをまだ受けていない企業
最近、開発チームの拡大、開発手法の変更、新しいプラットフォームへの移行、新しいツールの導入を行い、セキュリティの取り組みが追いついているかを確認したい企業
大企業向けの営業、コンプライアンス対応、安全な開発の規律の証跡を求める大口顧客との取引を控えている企業
監査人、投資家、顧客、取締役会からの安全な開発の取り組みに関する質問に対し、現状を誇張せずに慎重に回答する必要がある企業

明確にするのに役立つこと

Secure SDLCレビューでは、次の点が明確になります。

設計、コーディング、テスト、リリースの各段階で導入されていると見られるセキュリティの取り組みと、証跡が不十分な箇所やプロセスの担当をより明確にすべき箇所
個人の知識、非公式なやり取り、文書化されていない習慣への依存により、セキュリティ上の判断が一貫しなかったり、新しいメンバーから見えなくなったりしている可能性がある箇所
効果的に使われているツール、チェックポイント、承認手順と、ノイズ、遅延、誤った安心感を生んでいるもの
現在のチーム内で対処すべきこと、研修やより明確な指針が必要なこと、別スコープの技術的または組織的な変更として検討すべきこと

含まれる内容

作業開始前の書面によるスコープ確認（レビュー対象のチーム構成、開発の進め方、証跡の情報源を含む）
ドキュメントのレビュー、チームへのインタビュー、必要に応じた実際の成果物の確認による、合意した開発の取り組みの調査
理論上の深刻度だけでなく、関連性と実現可能性で順位付けした実践的な指摘事項をまとめた体系的な指摘事項報告書
技術系と非技術系の意思決定者の双方に向けた、各指摘事項の平易な説明と背景
計画、採用、研修、ツールの判断に役立てるために社内で共有できる経営層向けサマリー
指摘事項、優先順位、現実的な次のステップについて話し合うフォローアップの打ち合わせ1回

含まれていないもの

別途スコープを定めない限り、アプリケーション全体のペネトレーションテスト、インフラのレビュー、能動的な攻撃の実施
コンプライアンス認証、監査意見、該当するすべての開発標準を満たしているという表明
レビュー期間中のプロセスの再設計、ツールの導入、チームへの研修
合意した業務の終了後の継続的な監視、継続的な評価、再テスト
書面のスコープに含まれていないチーム、リポジトリ、システム、デリバリーパイプラインのレビュー

それを選ぶべきとき

特定のツールへの投資、研修プログラム、プロセス変更に踏み切る前に、開発チームが現在セキュリティにどう取り組んでいるかについて、明確で証跡に基づく見解を得たい場合は、Secure SDLC Reviewをお選びください。チームが拡大した場合、開発の進め方が変わった場合、関係者から安全な開発について妥当な質問を受けたもののまだ自信を持って答えられない場合に、有効な一歩となります。監査、顧客によるセキュリティレビュー、開発体制が議題となる社内の計画サイクルの前にも役立ちます。一方、具体的な技術上またはプロセス上の課題がすでに分かっていて、絞り込んだ実施作業が必要な場合は、スコープを定めた改善プロジェクトのほうが通常は適しています。このレビューの価値は、次の投資をより熟慮されたものにし、本当の制約に対処できる可能性を高める点にあります。

私たちのアプローチ

まず、レビューの範囲と証跡の確認方法を書面で確定します。どのチーム、リポジトリ、取り組み、成果物を調べるか、どのようなアクセスや話し合いが必要か、引き渡し時に何を受け取れるかを平易な言葉で説明した概要書をお渡しします。担当者は提供された情報とアクセスの範囲で作業し、入手できる証跡で未解決の質問が残る場合は、フォローアップできるよう報告書に明確に記録します。指摘事項は実践的な評価として記述します。すなわち、観察された取り組み、それが問題となり得る状況、そして釣り合いのとれた推奨事項または次に確認すべき問いです。報告書は、どの改善にいつリソースを充てるかについて、技術責任者、プロダクトオーナー、経営層の建設的な対話を支えるためのものです。引き渡し時には貴社と一緒に優先順位を確認し、報告書が優先順位を付けにくく対応しにくい一覧ではなく、現実的な計画に役立つものとなるようにします。

Secure SDLC Reviewのサービスページを見る