セキュアコーディングの極意【第6回】
セキュアなアプリケーション開発に求められる「4つの指標」とは？
セキュリティを意識したアプリケーション開発プロジェクトを進めるには、何を重視すればよいのか。プロジェクトを評価するための4つの指標と、リスク要因として懸念すべき事項を紹介する。
激化するサイバー攻撃に備えるために、アプリケーション開発プロジェクトのセキュリティ強化を検討するIT意思決定者は、何に取り組むべきなのか。
アプリケーション開発プロジェクトの現状が分かる4つの指標
セキュリティとガバナンスを推進する非営利団体ISACAの取り組み「Emerging Trends Working Group」に参加するエド・モイル氏は、プロジェクトにおける4つの指標を評価することを勧める。以下の通りだ。
- 成熟度
- 従業員が離職しても欠員を補充でき、結果の一貫性を保つことができるかどうかの指標。
- 透明性
- プロジェクトが利用するライブラリ（プログラム部品群）のサプライチェーンの透明性を確保し、エンドユーザーにもその透明性を提供できるかどうかの指標。
- コンプライアンス
- プロプライエタリかオープンソースかを問わず、開発中のアプリケーションが使うライブラリのライセンスがコンプライアンスを順守しているかどうかの指標。
- 簡潔性
- アプリケーションが簡単に理解、評価できる設計かどうかの指標。
併せて読みたいお薦め記事
連載：セキュアコーディングの極意
- 第1回：セキュリティの“いたちごっこ”が終わらない現実
- 第2回：AIは「開発のテスト」をどう変える？ “単純作業の終わり”は基本の「き」
- 第3回：「シフトレフト」でセキュアコーディング まずやるべき基本は？
- 第4回：リソース不足の開発チームが「成功を託した手法」はこれだ
- 第5回：「開発者だけで作るアプリケーション」が成功しにくい“当然の理由”
事例から開発手法を学ぶ
「これら4つの指標は、アプリケーションセキュリティに影響を及ぼす可能性があり、実際に影響を及ぼす考慮事項の“氷山の一角”に過ぎない」とモイル氏は話す。アプリケーションの設計、開発、テスト、配備、保守、サポート、サポート終了といった一連の過程においてリスクをもたらし得る要素は以下の通りだ。
- 目的との適合性
- 設計の厳密性
- 開発ツールやライブラリ（プログラム部品群）のサポート範囲
- テスト範囲
- ソースコードの品質
- 市場投入までの時間
アプリケーションのセキュリティは、開発チームや運用チームの考え方に即している必要がある。自動テストツールやAI（人工知能）技術を活用すれば、アプリケーションのバグは特定可能だ。だが新機能の追加やデータ配信、API（アプリケーションプログラミングインタフェース）の導入といった要素がセキュリティに与える影響も、率先して考慮しなければならない。
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly発 世界に学ぶIT導入・活用術
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[SCSK株式会社] 「Dropbox」管理・運用の困りごと解決ガイド -
事例
[SCSK株式会社] 東急建設や朝日放送など4事例に学ぶ、クラウドストレージ移行のポイント -
製品レビュー
[株式会社シーイーシー] 脱VMwareは単なる移行で終わるのか？ 後悔しない次世代基盤の選び方とは -
市場調査・トレンド
[株式会社日立ソリューションズ] クラウド型ストレージと文書管理システム、その使い分け方とは？ -
市場調査・トレンド
[グーグル・クラウド・ジャパン合同会社] AIの悪用でサイバー攻撃が加速、インシデント調査で判明した脅威の実態と防衛策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
2
「生成AIの導入・活用」に関するアンケート
-
3
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
4
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
5
Claude利用8割のGMO、AI人材の評価軸が「トークン管理」に変わった
-
6
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
7
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
8
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
9
「セキュリティ運用と侵入後の初動防御」に関するアンケート
-
10
「オフィス移転・刷新に伴うネットワーク環境の実態」に関するアンケート
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
7
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
「標的型攻撃メール」事例・サンプル集
-
10
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー