セキュア・バイ・デザイン：ベストプラクティスと予防的なセキュリティ成果

米国政府のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が包括的なSecure by Designガイドラインをリリースしてから2年が経過し、ソフトウェアメーカーに影響を与える転換点となりました。ソフトウェアの品質とセキュリティの基準を引き上げるための、目に見える最高レベルのサポートが初めて行われ、出荷されたコードに脆弱性がないことを確認する責任が（エンドユーザーではなく）ベンダーにあると推進されました。

しかし、企業レベルでのこれらの原則の現実世界での実装に関するコンセンサスは、得られていないことが証明されています。セキュリティ専門家の間では、何がSecure by Designを構成するのかについてのコンセンサスはないようであり、それを達成するために標準的な経路がたどられていることは言うまでもありません。Secure Code Warriorは、ソフトウェアの構築に焦点を当てているエンタープライズセキュリティの専門家にインタビューし、現在のセキュリティ態勢やソフトウェア開発ライフサイクル（SDLC）への実装方法など、Secure by Designの原則に対する現在のアプローチを深く掘り下げました。CISAのガイダンスを実装するために広く受け入れられている標準がないこと、また、展開の成功を判断するための有効なベンチマークもないことが明らかになりました。業界として、セキュリティ責任の向上とソフトウェア品質の恩恵を享受するためには、これを迅速に是正しなければなりません。 

この調査論文では、Secure Code Warriorの共同創設者であるPieter DanhieuxとMatias Madou博士が、専門の寄稿者である元米国国家サイバー長官（現Paladin Capital Groupの戦略アドバイザー）のChris Inglisと、Paladin Global InstituteのシニアディレクターであるDevin Lynchとともに、CISO、アプリケーションセキュリティ担当副社長、ソフトウェアセキュリティ専門家を含む企業のセキュリティリーダーへの20件以上の詳細なインタビューから得られた重要な調査結果を明らかにします。これには以下が含まれます：

• 企業が直面している一般的なセキュリティプログラムの課題に関する洞察；
• これらのイニシアチブがチーム間でどのようにアクティブ化および分散されるかを含む、Secure by Designイニシアチブの役割；
• ソフトウェア開発におけるAIの役割、および最新の脅威モデリング；
• ベストプラクティスの解釈、および業界全体が実行可能なSecure by Design戦略に足並みを揃える上で、精密なデータとベンチマーキングが果たす役割。 

‍