SCW Trust Agent - 開発者主導のセキュリティを拡大するための可視性と制御

「セキュア・バイ・デザイン」の原則は、開発者主導のセキュリティを通じてのみ実現できると多くの組織が理解しています。結局のところ、組織のソフトウェアを設計、構築し、最終的にコードをコミットするのは開発者だからです。こうした貴重な貢献者が、セキュアコーディングのベストプラクティスを実践するための知識とスキルを備えていることは極めて重要です。しかし、この目標を達成する上での課題は、開発者が実際にソフトウェアを構築する際に使用するプログラミング言語と、彼らのセキュアコーディングの知識やスキルを一致させることにあります。これは、成熟した組織にとっても容易なことではありません。

この課題は、組織のコードベースで使用されているプログラミング言語の多様さと膨大な量によってさらに複雑化しており、セキュリティチームがその全容を把握できていないことも少なくありません。では、CISOやAppSec、エンジニアリングのリーダーは、作成・コミットされるコードが、その言語における開発者のセキュアコーディングの知識とスキルに裏打ちされていることを、どのように保証すればよいのでしょうか？

SCW Trust Agentの紹介

Secure Code Warriorは、この難問に答えるためにSCW Trust Agentを立ち上げました。SCW Trust Agentは、開発者主導のセキュリティを拡大するために必要な可視性と制御をセキュリティリーダーに提供し、開発者やチームがコミットするコードのセキュリティを維持・向上させながら、より迅速なリリースを実現できるように支援します。

SCW Trust Agentの仕組み

SCW Trust Agentは、コードリポジトリを検出・接続し、すべてのコードコミットに含まれるメタデータを評価します。コミットを行った開発者、使用されている言語やフレームワーク、正確なコミット時刻を検査します。次に、この分析結果をSCWの業界をリードする学習プラットフォームからのデータや知見と照らし合わせ、その開発者が特定のプログラミング言語において十分なセキュリティ知識を持っているかを判定します。この情報に基づき、組織が設定したポリシーに従って、そのコミットの健全性に関する評価を返します。これらのポリシーはカスタマイズおよび設定が可能で、プロジェクトやリポジトリの重要度に応じて、開発者に求められるセキュアコーディング知識のしきい値を柔軟に設定できます。

次世代のガバナンスと制御

この強力な可視性を基盤として、Trust Agentは柔軟なポリシーゲート機能を通じて、大規模な統合ガバナンスを提供します。この革新的な機能により、組織やチームはセキュアコーディング基準をコミットレベルで能動的に適用・維持できます。開発者が、組織の要件を満たしていない言語やフレームワークでコードをコミットしようとした場合、Trust Agentは設定に基づいたアクション（イベントのログ記録、警告の表示、プルリクエストのブロックなど）を自動的に実行できます。

これらの適応型ポリシーゲートは、あらゆるGitベースのリポジトリに適用可能です。これは、PCI-DSS 4.0の要件6.2.2で言語固有のセキュリティトレーニングが規定されているような、ビジネスに不可欠なアプリケーションや厳格なコンプライアンスが求められる環境において、極めて重要な制御点となります。組織のリスク許容度に基づいてコミットの信頼レベルを定義することで、Trust Agentは、検証済みのセキュアコーディングスキルを持つ開発者のコードのみが重要なリポジトリに反映されるようにし、セキュリティ体制を根本から強化します。

開発ライフサイクルの最適化

SCW Trust Agentによるこの能動的なアプローチは、組織全体のセキュリティ体制を向上させるだけでなく、開発ライフサイクルの最適化も促進します。開発者がコミットする言語において適切なセキュアコーディングの知識とスキルを備えていることを保証することで、後から特定・修正が必要となる脆弱性の混入を大幅に削減できます。修正や手戻りは開発者の時間を大きく奪い、ワークフローを中断させ、開発速度に悪影響を及ぼします。能動的なアプローチで脆弱性を減らすことは、こうした修正サイクルを最小限に抑え、開発チームが高価値な機能の提供に集中できるようにします。

開発者主導のセキュリティの拡大

SCW Trust Agentは、開発者主導のセキュリティプログラムを拡大するために必要なツールを組織に提供します。CISOやAppSecチームは、適切なガバナンスを適用し、ポリシーの設計、適用、遵守状況に関する詳細な洞察を得ることで、コンプライアンス基準を満たし、さらにそれを上回るための可視性と制御を手に入れることができます。また、開発者は、自身が使用する言語に特化したセキュアコーディングトレーニングを受けることで、より安全なコードを迅速に提供できるようになります。

SCW Trust AgentはあらゆるGitベースのソースコード管理ツールと連携し、オンプレミス、クラウド、手動アップロードなど、複数の接続オプションにより簡単にリポジトリを接続できます。詳細については www.scwtrustagent.com をご覧いただくか、弊社までお問い合わせください。貴社のセキュリティ体制の強化と開発者主導のセキュリティ拡大をどのように支援できるか、ぜひお話しさせてください。

編集者注：本記事は Kyle Riordan により2024年7月23日に公開されました。その後、Secure Code Warriorのシニアプロダクトマーケティングマネージャーである Andrew Johnson により、新しい情報と調査結果を加えて更新されています。