DevSecOps・アプリケーションセキュリティ関連支援サービス

アプリケーション開発を取り巻く環境の変化

近年、DXの進展に伴い、企業におけるアプリケーション開発のペースが加速しています。また、開発ではOSS（オープンソースソフトウェア）を含む外部ライブラリの利用に加え、APIを利用した外部サービスとの連携も広がっています。こうした環境では、自社で開発するアプリケーションだけでなく、利用するコンポーネントや外部サービスも視野に入れてセキュリティ対策を講じる必要があります。

また、セキュリティ対策は、アプリケーションのリリースをもって完了するものではありません。利用するOSSや外部ライブラリの脆弱性が、運用開始後に公表される場合もあります。攻撃者がその脆弱性を悪用すれば、情報漏えいやサービス停止を通じて事業や顧客にまで影響を及ぼしかねません。そのため、運用開始後も脆弱性情報を確認し、自社への影響を評価し対応する体制が必要です。

開発・運用現場で生じているセキュリティ上の課題

アプリケーションの開発・運用の現場においては、以下のような課題を抱えるケースが少なくありません。

• 設計・実装を終えた後にセキュリティ上の不備が判明し、設計変更や再テストが頻発する
• 脆弱性の検出を人手によるレビューやリリース前の診断に頼っており、検出タイミングが遅い
• 利用するOSSの種類やバージョンを管理できておらず、運用開始後に脆弱性が判明しても、迅速に影響範囲を特定して対応することができない
• ソースコードへのアクセスや変更、CI/CD^*1プロセスの実行権限、パスワードやAPIキーなどの認証情報を適切に管理できていない
• 複数のツールでセキュリティテストを実施していることで、どのリスクから対応すべきか判断できない

これらの課題を放置すると、開発の手戻りによるリリースの遅延や、不正なコードの混入、ソフトウェアの改ざんにつながるため、対策に不備のある工程や、アプリケーション開発の管理方法を早期に見直す必要があります。

開発ライフサイクル全体で取り組むセキュリティ対策

これらの課題に対応するには、企画・要件定義から設計、開発、テスト、リリース、運用に至る開発ライフサイクルの各工程で、セキュリティ対策を組み込む必要があります。開発と運用のプロセスにセキュリティを組み込むDevSecOpsは、こうした取り組みを進めるための考え方です。

DevSecOpsの実現にあたっては、必要な対策を「予防」「検出」「保護」「管理」の4領域で捉え、組み合わせて実施することが重要です。

• 予防：脆弱性を作り込まない
• 検出：脆弱性を早期に検出する
• 保護：開発・リリース環境を守る
• 管理：検出したリスクを継続的に管理する

PwCの支援

PwCコンサルティングは、「予防」「検出」「保護」「管理」の4つの領域で、現状把握から方針・要件の策定、運用プロセスの整備までを一貫して支援します。

図表1：PwCのDevSecOps・アプリケーションセキュリティ関連サービス

各サービスが対応する開発ライフサイクルの工程を図表2に示します。

図表2：開発ライフサイクルとPwCのサービスとの対応

セキュア・バイ・デザイン導入支援

セキュア・バイ・デザイン導入支援では、開発工程で満たすべきセキュリティ要件を定義し、開発するシステムのリスク分析方針と評価基準を定めます。さらに、分析結果を設計レビューへ反映するルールと体制を整備します。

企画・設計段階から、必要な対策を設計へ反映できるようにし、設計変更や再テストを伴う手戻りを抑え、スケジュールの遅延や予算超過の防止につなげます。

図表3：セキュア・バイ・デザイン導入支援の流れ

セキュリティテスト（SAST／DAST／SCA）導入・運用支援

セキュリティテスト（SAST／DAST／SCA）^*2導入・運用支援では、テスト方針を策定し、ツールの評価・選定を支援します。併せて、テストの実施ルールや体制の整備、検出後のトリアージ^*3や修正依頼、対応状況と修正完了の確認など、企業の運用整備を支援します。

これにより、実装・テストから運用に至る各工程で脆弱性を早期かつ継続的に検出し、対応の優先順位と進捗を一元的に管理することが可能になります。

図表4：セキュリティテスト（SAST／DAST／SCA）導入・運用支援の流れ

開発環境セキュリティ強化支援

開発環境セキュリティ強化支援では、CI/CD環境の構成や管理状況を確認し、開発環境のセキュリティ対策方針を策定します。併せて、ソースコードの変更を承認する手順や、アクセス権限・認証情報を管理するルールを定め、運用体制を整えます。

開発環境へのアクセスや変更を適切に管理できるようにし、不正なコードの混入やソフトウェアの改ざん防止につなげます。

図表5：開発環境セキュリティ強化支援の流れ

アプリケーションセキュリティ態勢管理（ASPM）導入支援

アプリケーションセキュリティ態勢管理（ASPM）導入支援では、ASPMツールの評価・選定と導入計画の策定を支援します。併せて、既存ツールとの連携方針や、脆弱性の悪用可能性と事業上の重要性を踏まえたリスク評価基準を定め、管理体制を整えます。運用開始後も、リスクの優先順位付けや対応状況の確認を支援します。

各種セキュリティテストの結果を集約し、対応すべきリスクの優先順位と対応状況を一元的に把握することが可能になります。

図表6：アプリケーションセキュリティ態勢管理（ASPM）導入支援の流れ

開発ライフサイクル全体を通じたセキュリティ確保に向けて

継続的にセキュリティを確保するには、開発ライフサイクルの各工程に必要な対策を組み込み、実施ルール、判断基準、担当者の役割を明確にする必要があります。

PwCコンサルティングは、クライアントの開発・運用環境を踏まえ、方針・要件の策定から運用プロセスと体制の整備、運用開始後のリスク管理まで一貫して支援します。

*1 CI/CD：コードの変更を継続的に統合・検証し、ソフトウェアをリリース可能な状態に保つ、または自動的にデプロイするための取り組み

*2 SAST：静的アプリケーションセキュリティテスト／DAST：動的アプリケーションセキュリティテスト／SCA：ソフトウェア構成分析

*3 トリアージ：検出結果を評価・分類し、対応の必要性や優先順位を判断すること