失敗しないセキュアコーディング【前編】

「セキュアコーディング」に取り組んでもセキュアにならない本当の理由

ソフトウェア開発において、ソースコードのセキュリティを確保することは、ソフトウェアのリスクを管理するための複雑なプロセスの一つに過ぎない。真の「セキュア」を実現するには、何をすべきなのか。

　人が自然言語を理解して処理する過程には、ちょっとした落とし穴がある。言葉や言い回しの意味を思い込む、つまり話し手が言葉に込めた意味を、聞き手が全く違う意味で解釈する場合があることだ。

　こうした誤解が望ましくない結果をもたらすのは日常会話だけではない。サイバーセキュリティや保証、ガバナンスなど、リスクに影響する規則においても同様だ。そうした状況では、誤解がリスクを生み出す可能性がある。

　この逸話を持ち出したのは、社内外で使うソフトウェアを開発、保守する部署において、「セキュアコーディング」を実施するための方法に関する議論をよく耳にするためだ。企業の大半は、セキュアコーディングという言葉を文字通り「セキュリティを意識したコーディング」をすることだと誤解している。ソフトウェアのリスクにまつわる課題に対処することを「セキュアコーディングを実施する」と表現するのは自然なことだが、この表現自体は、目標とする状態の実現を困難にしているように思える。

　企業が「セキュアコーディングはなぜ正しいのか」を理解することには、明確かつ実用的な価値がある。意図が正しく伝われば、企業はアプリケーションやソフトウェアのリスクに取り組む理由を把握でき、解決手順が明確になる。セキュアコーディングの意図を正しく理解することを念頭において、安全で回復力のあるソフトウェアを開発するために、ソフトウェアのリスク削減における目標と要件を満たしながら、本楽の目的を実現する方法を解き明かしていこう。

実は誤解している「セキュアコーディング」

Computer Weekly発　世界に学ぶIT導入・活用術

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「SAST」「DAST」「SCA」がDevSecOpsに向かない“なるほどの理由”

• 

  「DevSecOps」に必要な基礎スキルとは？　習得する方法は？

新着ホワイトペーパー PR

• 製品レビュー
  「電子帳簿保存法対応」実践術：タイムスタンプ付与などの要件の手軽な実現方法
• 事例
  「大企業のデジタル化」成功事例集【コクヨ、九州電力、ヨネックスなど21社】
• 製品資料
  “顧客管理の課題”を簡単に解決する方法とは？
• 製品資料
  契約管理の“あるある課題”をノーコード開発で解決するためのポイント
• 製品資料
  揺らぐ境界防御　いま企業が特に警戒すべき「3つのセキュリティ課題」とは？