対応内容
必要な工程から見直します。
一つのレビューにも、AppSec運用全体の改善にも対応します。
AppSecの現状
今ある対策と困りごとを確認し、優先する改善を決めます。
脅威モデリング
設計段階で資産、信頼境界、悪用方法を洗い出します。
設計・コードレビュー
重要な実装と前提を確認し、修正につながる説明を残します。
開発パイプライン
コード、依存ライブラリ、秘密情報などのチェックを適切な場所に置きます。
脆弱性の管理
受付、優先順位、担当者、修正確認の流れを整えます。
開発者向けガイド
チームで再利用できる安全な実装例やレビュー項目を作ります。
進め方
いまの開発方法から始めます。
新しい承認やツールを増やす前に、どこで作業が滞るかを見ます。
調べる
設計、リポジトリ、公開手順、担当者を確認します。
決める
必要なレビューと確認項目を選びます。
試す
実際のチームと試し、使いにくい部分を直します。
続ける
繰り返す問題と修正状況を見て調整します。
納品するもの
レビュー後に使える結果を。
コードや設計のレビューでは、必要に応じてOWASP ASVSやCWEを参照します。問題の内容、ここで重要な理由、修正方法を記録します。
運用改善では、合意した手順、ガイド、担当者を残します。稼働中のシステムを攻撃者の視点で調べる場合は、ペネトレーションテストをご案内します。
相談の目安
こんなときにご相談ください。
問題の発見が遅い
リリース直前や顧客審査で重要な問題が出ます。
ツールの結果が多すぎる
何を優先するか、誰が直すか決められません。
同じ問題が戻る
個別に修正しても原因となる作り方が変わりません。
よくある質問
AppSecの相談について。
対象はコードベースや工程に合わせて決めます。
何を依頼できますか。
脅威モデリング、設計・コードレビュー、開発工程の改善、脆弱性対応などです。
既存のAppSec体制も改善できますか。
はい。いまのツールと手順を確認し、使われていないチェックや対応の滞りを見直します。
ソースコードレビューだけ頼めますか。
はい。コードベースと確認したいリスクに合わせて範囲を決めます。
ペネトレーションテストとは違いますか。
AppSec支援は日々の開発方法を改善します。ペネトレーションテストは、合意した期間に稼働中のシステムを検証します。
いま困っている開発工程を教えてください。
一つのレビューから、継続的な改善まで範囲を決められます。