アプリケーション セキュリティ テストプログラムとは、企業の社内外のアプリケーションやAPIの脅威、脆弱性、全体的なリスクエクスポージャーを継続的に評価し、対処する組織的なプロセスです。被害の大きい情報漏洩事件が相次いで報道され、政府当局の企業への規制圧力が高まる中、多くの企業がアプリケーション セキュリティ テスト プログラムを導入しています。アプリケーション全体の潜在的なセキュリティ問題をより詳細に把握し、発見した脆弱性の効果的な解決に努めています。
アプリケーションセキュリティには、セキュリティ、ソフトウェア開発、監査、経営陣、さまざまなビジネス部門を含む、企業内の強力な連携が必要です。最良の結果を得るには、設計、開発、リリース、アップグレードの各段階を含めたソフトウェア開発ライフサイクルの早い段階で、アプリケーションセキュリティを考慮することが重要です。アプリケーション セキュリティ プログラムは、脆弱性管理プログラムとは異なり、社会や社内に広まる前にアプリの脆弱性を見つけることを目的としています。
企業がアプリケーションセキュリティプログラムを導入するにはさまざまな理由があります。まず、アプリケーション セキュリティ プログラムは、企業や顧客の機密データ保護に必要なセキュリティを改善します。また、企業によっては規制上、プログラムの導入を求められることがあるためコンプライアンスが向上します。有効なアプリケーション セキュリティテスト プログラムは、情報漏洩による法的、財政的な被害や評価の低下から企業を守ることができます。
社会の大きな注目を集める情報漏洩事件が相次ぎ、データセキュリティに対する社会的な関心が高まる中、お客様は取引先企業に個人情報を安全に保護するよう望んでいます。アプリケーション セキュリティ プログラムでは、組織が顧客データに関して適切な注意を払っていることを示すことで、顧客の信頼を高め、企業のブランド評価を向上させることができます。 さらに、確固たるセキュリティ文化を持つ企業の従業員は、個人を特定できる情報（PII）や個人健康情報（PHI）など顧客情報を守る方法を理解し、会社のセキュリティ投資を後押しし、支持することもできます。自社環境でアプリケーションセキュリティを重視しない競合他社と比較して、アプリケーション セキュリティ プログラムの導入は最終的に企業の競争力を高めることにつながります。
アプリケーション セキュリティ プログラムには数多くの導入フレームワークがありますが、OWASPのSAMM（Software Assurance Maturity Model）は多くのビジネスシーンに対応しています。SAMMは既存のソフトウェアセキュリティ対策の評価を支援します。明確に定義づけされたイタレーションによりバランスの取れたソフトウェアセキュリティ保証プログラムを構築し、長期目標の達成に向けて具体的な改善点をクイックウィンで検証し、組織内のセキュリティ関連の作業を定義して評価します。SAMMは、優れたアプリケーション セキュリティ プログラムを構築するツールセットとリソースで構成されています。組織独自のリスク許容モデルに適応するだけでなく、時間とともに変化しても適応することが可能です。
アプリケーション セキュリティ プログラムの一環として、企業は1つ以上のアプリケーション セキュリティツールを利用することができ、これらにはStaticApplication Security Testing（SAST）、Dynamic Application Security Testing (DAST）、Interactive ApplicationSecurity Testing（IAST）、Runtime Application Security Protection（RASP）が含まれます。例えばSASTやDASTは、アプリケーションのソースコードや実行中のアプリケーションの潜在的な脆弱性を特定する処理を自動化します。IASTは、実行中のアプリケーションでコード内の既知の脆弱性が悪用できるかを検証し、RASPはアプリケーションの動作とそのコンテキストを監視することで、リアルタイムで自動的に脅威を特定し、その脅威から保護します。これらの充実した機能に加えて、アプリケーション セキュリティツールでは、セキュリティと開発チームの連携強化も期待できます。利用可能なその他のアプリケーション セキュリティテスト ツールについてはこちらをご覧ください。
アプリケーション セキュリティテスト プログラムを成功に導く4つのヒントを次に示します。
SDLCの早い段階で脆弱性を発見できれば、対処にかかるコストと時間を削減することができます。早い段階で対処できなければ、脆弱性のあるアプリケーションが本番環境へ移行するリスクと、情報漏洩の可能性が高まることになります。また、SDLCの遅い段階で問題を修正した場合、より多くの費用と時間がかかり、たまっていくフラストレーションにお気づきになるかもしれません。
アプリケーション セキュリティ プログラムを成功に導くためには、セキュリティ、開発、アプリケーションの全チームが目標を共有し、協力する必要があります。開発チームとアプリケーションチームがプログラムに早期の段階で参加して連携できていなかった場合、セキュリティに関する懸念事項は後回しにされ、適切な優先順位を付けられない可能性があります。セキュリティチームは統合の自動化を支援したり、SDLCを改善するソリューションを導入したりするなどして、開発担当者と良好な関係を築くことができます。もしこのような連携がなければプロセスは停止し、セキュリティチームが何か投げても問題は修正されないという事態に陥る可能性があります。
SASTとDASTは、SDLCの早い段階でコード内の脆弱性やバグを検知する有効なツールです。開発者はツールを用いることで、自身の修正を可視化してコントロールできるようになるため、連携を向上する効果も期待できます。アプリケーションが本番稼働するはるか前の段階で、潜在的な脆弱性に対処することができます。その結果、セキュリティチームは、品質保証、本番前環境でのリスク検証、セキュリティ対策に対するステークホルダーの賛同確保など、他の優先事項に集中することができます。
アプリケーション セキュリティ プログラムで使用するセキュリティツールを選択したら、概念実証（PoC）を行って実環境での動作を検証します。この工程を経ることで、ツールが導入先の環境とチーム双方に与える影響を理解し、購入前に行うべき統合や自動化の要件が明確になります。
アプリケーション セキュリティテスト プログラムは、アプリケーションの安全性を向上する有効な方法であり、安全性を適切なレベルまで高めて維持します。その結果、顧客の信頼度は向上して競争も優位に進められる可能性があります。SDLCの早い段階でセキュリティの懸念を優先する強力な社内協力体制があれば、ビジネスニーズとセキュリティ目標のバランスが良くとれた有効なアプリケーション セキュリティ プログラムを導入することができます。