失敗しないセキュアコーディング【前編】

「セキュアコーディング」に取り組んでもセキュアにならない本当の理由

ソフトウェア開発において、ソースコードのセキュリティを確保することは、ソフトウェアのリスクを管理するための複雑なプロセスの一つに過ぎない。真の「セキュア」を実現するには、何をすべきなのか。

　人が自然言語を理解して処理する過程には、ちょっとした落とし穴がある。言葉や言い回しの意味を思い込む、つまり話し手が言葉に込めた意味を、聞き手が全く違う意味で解釈する場合があることだ。

　こうした誤解が望ましくない結果をもたらすのは日常会話だけではない。サイバーセキュリティや保証、ガバナンスなど、リスクに影響する規則においても同様だ。そうした状況では、誤解がリスクを生み出す可能性がある。

　この逸話を持ち出したのは、社内外で使うソフトウェアを開発、保守する部署において、「セキュアコーディング」を実施するための方法に関する議論をよく耳にするためだ。企業の大半は、セキュアコーディングという言葉を文字通り「セキュリティを意識したコーディング」をすることだと誤解している。ソフトウェアのリスクにまつわる課題に対処することを「セキュアコーディングを実施する」と表現するのは自然なことだが、この表現自体は、目標とする状態の実現を困難にしているように思える。

　企業が「セキュアコーディングはなぜ正しいのか」を理解することには、明確かつ実用的な価値がある。意図が正しく伝われば、企業はアプリケーションやソフトウェアのリスクに取り組む理由を把握でき、解決手順が明確になる。セキュアコーディングの意図を正しく理解することを念頭において、安全で回復力のあるソフトウェアを開発するために、ソフトウェアのリスク削減における目標と要件を満たしながら、本楽の目的を実現する方法を解き明かしていこう。

実は誤解している「セキュアコーディング」

Computer Weekly発　世界に学ぶIT導入・活用術

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「SAST」「DAST」「SCA」がDevSecOpsに向かない“なるほどの理由”

• 

  「DevSecOps」に必要な基礎スキルとは？　習得する方法は？

新着ホワイトペーパー PR

• 製品資料
  [株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説
• 製品資料
  [株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？
• 市場調査・トレンド
  [株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」
• 製品資料
  [日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣
• 製品資料
  [rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用