セキュア開発を牽引する専門家による知見

サイバーセキュリティにおける攻撃者と防御側の力関係は、極めて不公平なのが現実です。機密データが新たな金脈となる中、攻撃者は防御をすり抜けるために素早く適応し、大小さまざまなセキュリティの脆弱性を突いて利益を得ようとしています。

静的解析の概要と、コードの品質向上に役立つ5つのIDEベースのアプローチやプラグインの活用例について解説します。

今年もまた、私たちにとって特別な時期がやってきました。この1年を振り返り、成長と学び、そして避けられない予測不能な出来事に満ちた新たな1年に向けて、どのような準備をしてきたかを考える季節です。

An example scenario for a misconfiguration of Guice, which may lead to a NullPointerException being reported at runtime during testing.

2021年は、サイバー脅威から銀河を守る、新しい種類の宇宙開発競争が主流になる年になると予測しています。

この脆弱性は、より人的または管理上の問題であり、古い API をより安全な新しいバージョンに置き換えるべきだった後も、長期間そのままで残ってしまいます。

Senseiを活用して、非推奨のパターンを特定し、推奨される修正案を提示することで、移行作業を効率化する方法をご紹介します。

ペネトレーションテストや静的解析スキャンツール（SAST）は、セキュリティリスクを軽減するためのプロセスの一部に過ぎません。これらは私たちが普段行っている業務とは独立して機能していますが、もちろん修正が必要なコードが戻ってきたときには、対応に追われることになります。

Learn how Sensei can identify a coding pattern, and automatically generate a private constructor to make it impossible to instantiate the class.

新しい働き方への不安やわずかな不信感、あるいはリモートワークそのものへの懐疑心など、理由はさまざまでしょう。しかし、リモートワークに消極的な企業は、優秀な人材の確保やグローバルな展開、そして率直に言って時代の変化に対応するという点で、後れを取る傾向にあると私は感じています。

Learn how to use code reviews on pull requests to help enforce coding styles. And shorten the feedback cycle when pair programming with a more experienced programmer.

A quick example of creating a recipe to migrate from System.out.println to using a Java Logger.

ログ記録および監視の不備は、認証の失敗、アクセス拒否、入力バリデーションエラーといった事象を適切に記録するためのサイバーセキュリティ計画が機能していない場合に発生します。

Senseiクックブックの共有方法を学び、チーム全員のコード品質と生産性を向上させましょう。

Secure Code Warriorプラットフォームに、待望の新機能「Missions」が登場しました。この全く新しいチャレンジカテゴリーは、開発者向けセキュリティトレーニングの次なるステージです。セキュリティ知識を「思い出す」段階から、実際のシミュレーション環境で「実践する」段階へとステップアップできます。

APIでなにかみだっけ、厚くなりなりなりなりなりなりなりなりなりなりなりなりなりますかぎりぎらぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎぎら。194ALULGか、RCINALIDI API API API、VIGALUMIN楽輪。

Senseiを活用して、開発者のオンボーディングや新しいライブラリの導入を効率化する方法をご紹介します。

Learn all about the latest updates to Sensei.

Senseiを使用して問題のあるコードパターンを検出し、アノテーションマッチングの例を参考に、合意された実装へと修正する方法を学びましょう。

大量代入の脆弱性は、多くの最新のフレームワークが、開発者がクライアントからの入力をコード変数や内部オブジェクトに自動的にバインドする関数の使用を奨励した結果生まれました。

オーストラリア政府がサイバーセキュリティ対策の強化を本格化させていることから、これが国家レベルの主要なリスク領域として認識されていることは明らかですが、その戦略は十分な範囲をカバーできているのでしょうか。

Senseiプラグインを使用すると、ソースコード内の特定のコードパターンを簡単に検索し、書き換えルールを適用して該当箇所を修正できます。これらすべてをIntelliJ IDE内でリアルタイムに行うことが可能です。

Secure Code Warriorは、GitHubコードスキャンにコンテキストに応じた学習機能をもたらすGitHub Actionを開発しました。これにより、開発者はSnyk Container Actionのようなサードパーティ製アクションを使用して脆弱性を発見し、その結果にCWE固有の極めて関連性の高い学習コンテンツを付加できるようになります。

機能レベルのアクセス制御の欠落という脆弱性は、本来制限されるべき機能の実行や、保護されるべきリソースへのアクセスを許してしまうものです。

あらゆる組織が「サイバーセキュリティ意識向上月間」を活用してセキュリティへの意識を新たにする中、今年はコーディングコミュニティ向けに新しい無料アプリもリリースします！

この脆弱性は、短時間に過剰なリクエストが集中し、API側でそれらを処理するためのコンピューティングリソースが不足した際に発生します。その結果、APIが利用不能になったり、新たなリクエストに応答できなくなったりする可能性があります。

セキュリティ修正を開発プロセスの上流へとシフトさせることは容易ではありません。しかし、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑であり、かつあらゆるものとネットワークでつながっている現代において、それは避けて通れない課題です。

この脆弱性の背後にあるメカニズム自体は他のものと類似していますが、今回のような過剰なデータ露出は、法的に保護されたデータや極めて機密性の高いデータが関与しているものと定義されます。

認証は、多くの場合、アプリケーションへのゲートウェイとしてだけでなく、ネットワークの他の部分へのゲートウェイとしても機能するため、攻撃者にとって魅力的な標的です。認証プロセスが壊れていたり脆弱だったりすると、攻撃者がその弱点を発見して悪用する可能性が高くなります。

当社のエキスパートの一人、Oscar Quintasをご紹介します。彼はプロダクトコンテンツチームのシニアセキュリティリサーチャーとして活躍しており、Infrastructure as Code（IaC）に関するあらゆる知識に通じたスペシャリストでもあります。

一般に、ユーザーからの入力を使用してデータソースにアクセスするすべての関数にオブジェクトレベルの認証チェックを含める必要があります。そうしないと、大きなリスクが伴います。

サイバー攻撃はますます頻繁になり、Linuxベースのインフラストラクチャに影響を与える脅威もますます一般的になっています。最終目標は、クラウドに保存されている機密データの宝庫を開ける機会を得ることです。

ご自身の組織を念頭に置き、ご自身の役割という文脈でこれらの問いを考えてみてください。DevSecのテストに直面したとき、組織はどのように対応できるでしょうか。

開発者が習得すべきモジュールを厳選したコースは非常に効果的であり、日々の業務においてセキュリティのベストプラクティスを即座に実践できるようになります。

日々の業務が多忙を極める中、わざわざ教室に足を運んだり、5段階もの手順を踏んで理論中心の研修を受けたりする動機が、開発者にどれほどあるでしょうか。

接触確認アプリの考え方は理にかなっています。この技術が適切に機能すれば、感染拡大のホットスポットを迅速に特定し、包括的な検査を実施できるようになります。これらはどちらも、感染症の拡大防止に不可欠な要素です。

必要な時にトレーニングを受けやすくするにはどうすればよいか、そしてマイクロラーニングをどのようにワークフローへよりシームレスに組み込めるかについて検討を始めました。

6月23日は、技術者にとって特別な日である「国際女性エンジニアリングデー」です。この機会に、ソフトウェア開発における女性の貢献にスポットライトを当てます。

この脆弱性は、コーダーがビジネスロジックルールを適切に実装できない場合に発生する可能性があり、悪意のあるユーザーがそれらを悪用した場合、アプリケーションがさまざまな種類の攻撃に対して脆弱になる可能性があります。

Rustは、広く使われている言語の既知の機能的要素を取り入れつつ、複雑さを排除し、パフォーマンスと安全性を追求するという異なる哲学に基づいて設計されています。

今回焦点を当てる脆弱性を招く行為は、信頼できないソースからのコード利用です。一見無害に思えるこの慣習が、今、大きな問題を引き起こしています。

医療分野は、サイバーセキュリティにおける次なる「最大の」戦場となる可能性があります。犯罪者たちは、診断や治療、そして生命維持に不可欠な医療機器そのものを標的にしているのです。

セキュリティの設定ミス、特に不適切な権限の設定は、開発者がタスクを実行するために新しいユーザーを作成したり、ツールとしてアプリケーションに権限を付与したりする場合に発生することがほとんどです。

アプリケーションは、全体的なワークロードの一環として他のプログラムとデータを共有することがあります。トランスポート層が保護されていない場合、外部からの盗聴や内部での不正な閲覧に対して脆弱な状態となります。

今日、パスワードや個人情報、財務記録といった重要なデータを保存時にハッシュ化することは、あらゆるサイバーセキュリティ対策の要となっています。

レガシーなCOBOLは、古いプログラミング言語でありながら、今日でもなお有効です。Secure Code WarriorによるCOBOLのセキュアなアプリケーション開発について、詳しくはこちらをご覧ください。

現代のコンピュータセキュリティにおいて、パスワードは最も重要な鍵となっています。二要素認証や生体認証といった他のセキュリティ手法が導入されている場合でも、多くの組織では依然としてパスワードベースのセキュリティを保護対策の一環として採用しています。

セキュリティが組織全体、そしてSDLC全体で共通の責任と見なされる段階に到達する必要があります。これは、全面的で支援力の高いDevSecOps環境にコミットすれば確実に実現できます。

インフラストラクチャレベルのアクセス制御が適切に整備されていなければ、企業全体が攻撃者にさらされることになります。攻撃者はその脆弱性を足がかりとして、不正な情報の覗き見や、組織全体を標的とした本格的な攻撃を仕掛けてくる恐れがあります。

攻撃者は常に悪用されやすい脆弱性を最初に見つけようとしますが、スクリプトを使用して一般的な弱点を突き破ることもあります。泥棒が道路を走っているすべての車をチェックして、ドアのロックが解除されていないか確認するのと何ら変わりはありません。窓を壊すよりもはるかに簡単です。

組織におけるPCI-DSSコンプライアンスをテーマにしたミニシリーズの第2部です。最終回となる今回は、CTOやCISOがリーダーシップを発揮し、サイバーリスクを低減しながら、プロセスを円滑かつ成功に導くための方法を詳しく解説します。開発者にとっても少し楽しい取り組みになるかもしれません。

本稿は、組織におけるPCI-DSSコンプライアンスの成功をテーマにした2部構成シリーズの第1部です。本章では、AppSecスペシャリストが開発マネージャーと緊密に連携し、開発者を支援し、SSDLCを強化し、一般的な法規制から具体的な成果を引き出す方法について詳しく解説します。

私たちの業界では、多くのセキュリティ専門家が、今年発生する可能性のある問題の予測を開始していますが、2019年には50億件を超える機密データレコードが盗まれたことを踏まえ、近い将来、サイバーセキュリティで何が起こらないかを予測する方が正確であることがわかりました。

開発プロセスのより早い段階でセキュリティを導入する「シフトレフト」という取り組みの多くは、現状を大きく変えるまでには至っていません。

GDPRの到来と、ドイツ連邦政府のサーバーだけでなく、多くの著名人の機密データが漏洩した後の戦略の改訂により、サイバーセキュリティの認識と行動がDACH地域のリーダーにとって最優先事項であることは明らかです。

世界はウォーターフォール、アジャイル、そして今はDevOpsに移行し始めています。では、次の解決策は何でしょうか？そして、こうしたアプローチの変化に遅れずについていく上で、開発者としてのあなたの役割は何でしょうか？

昨年末、MITREの素晴らしいコミュニティが、2019年に世界に影響を与えた「CWE Top 25 Most Dangerous Software Errors（最も危険なソフトウェアエラー）」リストを発表しました。その内容のほとんどは、予想通りのものでした。

この記事の冒頭で、急成長を遂げるスタートアップとしての輝かしい実績や数字を並べることもできました。それらは紛れもなく素晴らしいものであり、当社の成長軌道も極めて順調です。しかし、私にとって、これらの数字は2019年を振り返る上で最も誇りに思っていることの本質を映し出すものではありません。

DevOpsの導入に真の成功を収めている企業は多くありません。しかし、ビジネス全体で適切なサポートと育成、そして理解を得ることで、プロセスを大きく変革することが可能です。

米国国立標準技術研究所（NIST）は、ソフトウェアの脆弱性とサイバーリスクを低減するための複数の行動計画を詳述した更新版ホワイトペーパーを公開しました。

開発者向けのイベントは、年間スケジュールの中でも特に楽しみにしているものです。ソフトウェアエンジニアや専門家が日々の業務でセキュリティを重視できるよう、たゆまぬ努力を続けるコミュニティの存在を改めて実感させられ、身が引き締まる思いがします。

規制に関する取り組みは今後間違いなく改善・拡大していくでしょう。しかし、組織が今すぐパニックに陥ってトレーニングに飛びついたとしても、将来に向けて十分な備えができていないことに気づくだけかもしれません。

開発者はあらゆる背景を持ち、多種多様です。私たちの活動の根底には、常にコミュニティの精神が息づいています。

セキュアコーディングは高等教育におけるソフトウェア工学の必須科目となるべきですが、一部の大学ではすでに先駆的な取り組みとして、開発プロセスの初期段階からセキュリティを最優先事項に据えた最高水準の教育を提供しています。

当社カスタマーサクセス担当VPのファテマ・ベイドゥンが、先日「未来のためのメンタリング：サイバーセキュリティ業界における女性の才能を育むために私たちができること」と題した講演を行い、多くの聴衆から好評を博しました。彼女はサイバーセキュリティ業界に前向きな変革をもたらす上で、欠かせない存在となっています。

安全でないデシリアライズは、アプリケーションがデシリアライズ対象のデータを信頼できるものとして扱う場合に発生します。もしユーザーが再構築されたデータを改ざんできれば、コードインジェクションやサービス拒否（DoS）攻撃、さらには権限昇格といった、あらゆる種類の悪意ある操作が可能になります。

多くの場所が、新しい取り組みで最善を尽くすために、まだ教室、乾いた教科書、気が遠くなるようなビデオトレーニングに頼っているのは本当に驚きです。特に、はるかに優れた、より魅力的で価値のある学習方法、つまりコンテクストトレーニングがある場合はなおさらです。

ソフトウェアセキュリティ業界は、温かみや親しみやすさ、あるいは人生に対する風変わりな考察や洞察とは縁遠い世界かもしれません。しかし、年齢を重ねるにつれ、私たちが世界に与えうる影響について思いを巡らせることが増えてきました。

機密データの漏洩とは、本来許可されたユーザーのみが閲覧すべき情報が、暗号化されていない、保護されていない、あるいは保護が不十分な状態で、権限のない第三者にさらされてしまうことを指します。

10代のセキュリティ研究者であるビル・デミルカピ氏が、自身の通う学校で使用されているソフトウェアの重大な脆弱性を指摘したニュースを見て、当時のことを思い出しました。私も好奇心旺盛な子供で、ソフトウェアの仕組みを知りたくて中身を覗き込み、あわよくば壊してやろうと試行錯誤していたものです。

VxWorksは一般の消費者にはあまり馴染みのない名前かもしれませんが、このソフトウェアは私たちの日々の生活を支えています。しかし今、VxWorksを搭載した数億台ものデバイスが危険にさらされているという事態に直面しています。

XML外部エンティティ注入攻撃（XXEインジェクション）は比較的新しい手法ですが、現在ハッカーコミュニティの間で非常に注目されており、攻撃の成功事例が増えるにつれてその脅威はさらに高まっています。

攻撃者が既存のアプリケーションにCRコードやLFコードを挿入できた場合、アプリケーションの挙動が変更されてしまうことがあります。その影響は他の多くの攻撃に比べて予測が困難ですが、組織にとっての危険性は決して小さくありません。

創造的で刺激的なCISOやCIOには、デジタル世界を革新して形作る力がありますが、組織のセキュリティ文化を変革する上でも重要な役割を果たすことができます。

多くの点で、リモートファイルインクルージョンの脆弱性は、ローカルファイルインクルード脆弱性よりもはるかに危険であり、悪用も簡単です。そのため、できるだけ早く発見して修正する必要があります。

今年、PCIセキュリティ基準委員会（PCI SSC）は、PCIソフトウェアセキュリティフレームワークの一環として、ソフトウェアセキュリティに関する全く新しいガイドラインを策定しました。このアップデートは、ソフトウェアセキュリティのベストプラクティスを現代のソフトウェア開発手法に適合させることを目的としています。

多くの脆弱性とは異なり、ローカルファイルインクルージョンとパストラバーサルプロセスを悪用して悪用するには、十分なスキルを持つ攻撃者、かなりの時間、そしておそらく少しの運が必要です。

アプリケーションサーバーやそのバックエンドシステムを完全に保護していたとしても、トランスポート層のセキュリティ対策が不十分であれば、通信内容が盗聴されるリスクは残ります。

XMLインジェクション攻撃は、ハッカーがXMLデータベースをホストするシステムを侵害するために考案した厄介な小さなエクスプロイトです。これには、従来のデータベース、つまり医薬品から映画まであらゆる情報の詳細な保存場所について考えるときに思い浮かぶようなことが含まれます。

英国のファーウェイ・サイバーセキュリティ評価センターによる最近の報告書で、ファーウェイのソフトウェアエンジニアリングプロセスにおける重大なセキュリティ上の問題が指摘されました。しかし、これは解決可能な問題です。

組織のAppSec予算を最大限に活用する方法といった注目のトピックから、聴衆からの鋭い質問まで、Leaders in AppSecパネルは、セキュリティ専門家が組織内で実行可能なプログラムを構築する上で役立つ、まさに魔法のような有意義なセッションとなりました。

ログ記録と監視の不備は、アプリケーションの防御構造において最も危険な脆弱性の一つです。この状態を放置すれば、どのような高度な攻撃であっても、いずれは突破されてしまう可能性が極めて高くなります。

検証されていないリダイレクトや転送を処理するWebサイトやアプリケーションを構築することは、ユーザーと組織の双方にとって極めて危険なリスクを招く恐れがあります。

正式に発表します。私たちはBugcrowdと協力し、セキュアコーディングに関する開発者の教育、支援、啓発に取り組んでまいります。

コードインジェクション攻撃は、多くのウェブサイトやアプリケーションが直面する攻撃の中でも、最も一般的かつ危険なものの一つです。その手法の巧妙さや脅威の度合いは多岐にわたりますが、ユーザーからの入力を受け付けるサイトやアプリであれば、ほぼ例外なく脆弱性を抱える可能性があります。

GitHubリポジトリに対する最近の攻撃は、セキュリティ業界でよく知られた問題を浮き彫りにしました。それは、多くの開発者がセキュリティに対する意識を十分に持っておらず、貴重なデータが常に危険にさらされている可能性があるということです。

ビジネスアプリケーションを構築する際、それが社内用であれ顧客向けの外部用であれ、すべてのユーザーにすべての機能を使わせることはまずないでしょう。もしそうしているなら、アクセス制御の不備という脆弱性を抱えている可能性があります。

あらゆる業種や組織を標的としたサイバー攻撃が増加の一途をたどる中、多額のコストや社会的信用の失墜、そして収益への甚大な打撃を招くデータ侵害の脅威は、極めて現実的なものとなっています。この問題は縮小するどころか、腫瘍のように拡大し続けています。

Webアプリが過剰な情報を公開してしまうと、攻撃者が侵入しやすくなるリスクがあります。本記事では、情報漏洩とは何か、なぜそれが危険なのか、そしてどのように防ぐべきかについて解説します。

すべてのアプリケーションはコンポーネントを利用しており、その大半は自作したものではありません。そのため、使用しているコンポーネントの脆弱性がそのままリスクとなる可能性があります。既知の脆弱性を持つコンポーネントを使用することの意味、その危険性、そして解決策について解説します。

開発チームとセキュリティ専門家の双方を経験した私には、セキュリティのベストプラクティスを維持する過程で両者の間に生じる緊張感が痛いほどよくわかります。しかし、もっと良いアプローチがあります。

ここでは、ウェブサイトを運営している組織や、従業員がコンピューターリソースにリモートアクセスできるようにする組織が直面する最も一般的な問題の 1 つを取り上げます。これはほぼ全員の問題です。さて、これから認証について話すのはお察しのとおりです。

アプリケーションの自動化対策が不十分な場合、攻撃者はパスワードが見つかるまで推測を繰り返すことができてしまいます。これを防ぐための対策をご紹介します。

コーディング上の問題が原因の一部である可能性はありますが、ビジネスロジックのエラーは、アプリの初期設計段階における設計上の欠陥や、論理的な前提の誤りに起因することがほとんどです。

サイバーセキュリティでは、私たちはしばしばハンターのようです。私たちの目は地平線にしっかりと釘付けになり、次のブレイクアウトの脆弱性を探しています。しかし、このように将来を見据えた視点は、セキュリティ意識全体を弱めるという意外な効果をもたらす可能性があります。

Webサイトやアプリケーションでは、ユーザーが電子メールを使用してアプリケーションを通じてフィードバックやその他のさまざまな情報を送信できるのが一般的です。また、ほとんどの人は、潜在的なセキュリティリスクという観点からは考えていません。

直接オブジェクト参照とは、アプリケーション内で特定のレコード（「オブジェクト」）が参照されることを指します。通常は一意の識別子の形式をとり、URL内に表示されることがあります。

ソフトウェアのセキュリティは、私にとって常に最優先事項です。私たちがデジタル化し、個人情報を共有するライフスタイルを送る中で、現実に存在する危険性も同様です。結局のところ、私たちは規制も監視もなく、見て見ぬふりをされている領域にいます。まさに「西部開拓時代」にいるようなものです。

デジタル社会において、開発者は安全でない暗号化ストレージから情報とビジネスを守る責任を担っています。Secure Code Warriorでその対策を学びましょう。

非常に多くのウェブサイトが、ユーザーのログイン情報、顧客データ、個人情報、機密データといった重要な情報を保持するためにXMLデータベースを使用しており、XQuery攻撃に対して非常に広い攻撃対象領域をさらしています。

Kamer van Koophandelは、役割に応じた認定制度、Trust Scoreによるベンチマーク、そしてセキュリティを全員で担う文化を通じて、セキュアコーディングを日々の開発プロセスにどのように組み込んだのかを紹介します。

PaysafeとSecure Code Warriorのパートナーシップにより、開発者の生産性が45%向上し、コードの脆弱性が大幅に削減された事例をご覧ください。

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Devlympics 2023のレポートで、大会の結果をご覧ください。各業界における開発者の参加状況、技術スタックやプログラミング言語のトレンド、そしてSecure Code Warriorが主催するこの年次グローバルイベントで取り上げられた主要な脆弱性やCWEについて詳しく解説しています。

Sageがどのようにして柔軟かつ関係性を重視したアプローチでセキュリティを強化し、200名以上のセキュリティチャンピオンを育成して、目に見えるリスク低減を実現したのかをご紹介します。

WorkdayがSecure Code Warriorのアジャイル学習を通じて、いかに開発者トレーニングを変革したかをご紹介します。開発者に実践的かつ言語別の教育を提供することで、WorkdayはSDLCの初期段階で脆弱性を削減することに成功しました。セキュアなコード文化を構築するための、彼らの素晴らしい成果と重要なポイントをご覧ください。

本ケーススタディでは、Thalesがどのように人、プロセス、技術へのアプローチを構築し、開発者が主体的にセキュリティチャンピオンとして活躍できるアジャイルなセキュアコーディング学習プログラムを実現したのかをご紹介します。

小売業界の巨人であるコルゲート・パルモリーブが、デジタルトランスフォーメーションの過程でいかにしてアプリケーションセキュリティを再構築したかをご紹介します。セキュアコーディングの課題に直面した同社は、開発者のワークフローに短時間で学べるコンテキストに応じた学習を取り入れることで、そのアプローチを刷新しました。

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAGグループは、アジア太平洋地域をリードする数多くの保険会社を傘下に持ち、数百万ものお客様に保険を提供しています。その年間保険料収入は約114億豪ドルにのぼります。

機械学習やサイバーセキュリティなど、多岐にわたる分野で数千人の従業員が実践的かつ最先端のスキルを習得できるよう、社内技術教育イニシアチブをどのように構築したのかをご紹介します。

この包括的なケーススタディでは、Secure Code Warriorのトーナメントを活用して開発者の関与を促し、自動車ソフトウェアに影響を与える主要な脆弱性への意識を高め、さらに複数の言語やフレームワークにわたって指標を収集した事例について詳しく解説します。

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Cyber Security Action Month (known as Cyber Security Awareness Month globally) is an annual Australian awareness campaign held in October to encourage people and businesses to improve their online security through simple everyday habits.

政府は、マシン速度のサイバー攻撃を未来の出来事として扱うことはもはやできません。先日のメディケアでの情報漏洩が示した通り、その未来はすでに到来しているからです。

‍

‍

10月は「サイバーセキュリティ月間」ですが、この1年を振り返れば明らかなように、脅威の状況は立ち止まってなどくれません。AIを活用したフィッシングキャンペーンやディープフェイクによるソーシャルエンジニアリング、そして病院、学校、自治体を標的としたランサムウェア攻撃が絶え間なく続く中、2026年のセキュリティチームに休息の時間はほとんどありませんでした。今年で30年目を迎えるこの恒例行事は、業界にとって立ち止まって現状を見つめ直し、「私たちは本当に安全になっているのか、それともただ忙しくなっているだけなのか」を問い直す絶好の機会です。

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

OpenAIのエージェントが、ごく一般的な調査を命じられた際にオーストラリア政府のウェブサイトに「侵入」したことが明らかになりました。この種の事例としては初のケースとして注目されています。

今回の事案は、これまでに発生したAIエージェントによる侵害事例に続くものであり、AIの不整合がもたらす危険性、開発者の説明責任、そして不十分なインシデント開示プロトコルといった重大な問題を浮き彫りにしました。専門家は、将来起こりうる壊滅的な事態を防ぐため、技術的な境界線の設定、強固な監視体制、そして義務的かつ迅速な報告が不可欠であると強調しています。

6月、AIエージェントによってメディケアを含む少なくとも3つの政府システムが侵害されていたことが判明しました。業界の多くの関係者がこの事態に警鐘を鳴らしています。

世界的なAI規制の動向を把握することは、AI技術そのものの進化についていくことと同じくらい困難になっています。セキュリティリーダーにとって、毎週のように新たな進展や規制案、政策の変更が発表されており、ただでさえ複雑なリスク環境にさらなる負荷がかかっています。

多層防御のアプローチを成熟させた組織にとって、脅威モデリングは決して新しい概念ではありません。これは長年にわたり予防的セキュリティの要として、企業が脆弱性を悪用される前に特定し、対処することを可能にしてきました。

Secure Code Warriorは、非エンジニア職の従業員を対象としたAIリテラシー向上プログラム「Citizen AI」を開始しました。これは、企業全体での責任あるAI活用を支援することを目的としています。

新しいAIリテラシープログラムにより、非開発職の従業員は、AIを活用したワークフローを安全に導入するために必要な判断力、リスク意識、責任ある利用習慣を身につけることができます。

Secure Code Warriorは、Citizen AI by Secure Code Warriorを発表しました。これは、非エンジニアの従業員が責任あるAI活用のための準備を整えられるよう設計された、新しいAIリテラシープログラムです。Citizen AIは、AIに関連する人的リスクの低減、企業全体のAIガバナンスの推進、AI利用に対する従業員の自信向上、そしてAIを活用したワークフローの安全な導入を加速させます。

‍

AIソフトウェアガバナンスおよび開発者向けセキュリティスキルアップのリーダーであるSecure Code Warriorは本日、非エンジニア職の従業員向けAIリテラシープログラム「Citizen AI by Secure Code Warrior」を発表しました。本プログラムは、組織が責任あるAI導入に向けた人材育成を支援するために設計されています。

新しいAIリテラシープログラムにより、非開発職の従業員は、AIを活用したワークフローを安全に導入するために必要な判断力、リスク意識、責任ある利用習慣を身につけることができます。

AIを活用したソフトウェア開発に向けたガバナンスや開発者向けトレーニングプログラムを策定する際、多くの組織が重要なターゲットを見落としています。

AIソフトウェア開発は、開発者とそのチームにとって急速な進化を続けています。Secure Code WarriorのCEO兼共同創設者である{{wf ...}}氏は、人間が書くコードからAI支援によるコーディングや自律的なワークフローへと標準が移行する中で、多くのセキュリティチームが自律型システムがもたらす新たなリスク管理という重大な課題に直面していると指摘しています。

‍

‍

ソフトウェア開発企業が直面している問いは、生成AIをコード作成に利用すべきかどうか、あるいは生成AIによるコード生成の割合が近い将来増加するかどうかではありません。その議論は、ここ24ヶ月ですでに過去のものとなりました。今問われているのは、生成AIやAIエージェントがコードを生成する中で、いかにしてセキュリティとコンプライアンスを維持するかという点です。

毎年9月は「内部不正防止啓発月間」です。これは、最も深刻なセキュリティインシデントのいくつかは外部からの攻撃ではなく、組織内部から発生するという事実を再認識する重要な機会です。悪意の有無にかかわらず、過失や単純なヒューマンエラーであっても、システムやデータ、施設への正当なアクセス権を持つ内部関係者は、現代の組織が直面する最も根深く、検知が困難なリスクの一つです。ハイブリッドワークの普及やAIツールの活用、IT環境の複雑化に伴い、内部脅威の状況は常に変化しており、セキュリティ専門家には新たな視点での対策が求められています。

エージェント型AIが生産性をさらに向上させる中、人間によるコードレビューは深刻なボトルネックとなっています。開発者は上流工程へとシフトし、AIがルールに従うための基盤となるガイドラインを確立する必要があります。

​サイバーセキュリティ業界は、10年以上にわたり「セキュリティ・バイ・デザイン」の原則を提唱してきましたが、人工知能（AI）がもたらすリスクを目の当たりにし、驚きを隠せません。組織が競ってAIの導入を進める中、CISOにとっての最優先事項は、自らが組織の足かせにならないようにすることです。しかし、AIの適切な活用とガバナンス、そして可観測性とトレーサビリティが確保されていなければ、組織はAIリスクに対して無防備な状態に陥る可能性があります。​

Secure Code Warriorは、ソフトウェア開発におけるAI利用を管理するためのフレームワーク「SCW AI Adoption Model」を発表しました。これは、従来のソフトウェア開発ライフサイクル（SDLC）から、同社が提唱する「エージェント型開発ライフサイクル（ADLC）」へと業界が移行する中で、組織を支援するために設計されたものです。

多くのソフトウェアエンジニアリングチームが、AIコーディングアシスタントから本格的なAIエージェントによるコード生成へと移行し、生成されるコード量が飛躍的に増加する中、そのセキュリティを確保することが最優先事項となっています。本調査では、AI支援型やエージェント型のコード開発を導入する組織に向けた実践的なガイダンスを提供します。

トークンの使用は、組織にとって予期せぬ多額のコストを発生させる可能性があります。

AIは開発サイクルの高速化を実現し、開発者がより価値の高い業務に集中することを可能にします。多くの企業にとって、こうした効率化は競争力を維持するために不可欠なものとなっています。したがって、課題はAIを導入するか否かではなく、いかに責任を持って導入するかという点にあります。開発者の教育、ガバナンス体制の構築、AIの可観測性、そして強固なセキュリティ管理に投資する企業こそが、リスクを抑えつつAIの恩恵を最大限に享受できるでしょう。

もはやAIモデルそのものを保護するだけでは不十分です。攻撃者は、開発ツール、ミドルウェア、オープンソースライブラリ、自動デプロイパイプラインなど、組織が日常的に利用するAIモデル周辺のソフトウェアエコシステムを標的にするようになっています。

これから詳しく見ていくように、世界各地でさまざまな動きがあり、国家間の協力も見られます。しかし、その道のりは決して一様ではなく、先行きも不透明です。特にビジネス環境においては、包括的な保護措置が整う前にAIの導入が義務付けられるケースも少なくありません。  

ある専門家によれば、AIのガードレールは「セキュリティ境界」として設計されているのではなく、行動を制御するためのものだといいます。しかし、その行動が業界パートナーへのハッキングであったとしたらどうでしょうか。

‍

サイバーセキュリティの専門家は、OpenAIのセキュリティ評価中にHugging Faceのインフラが侵害されたことは、自律型AIエージェントがもたらすリスクの転換点であると警告しています。このインシデントでは、AIモデルが管理されたテスト環境を逸脱し、AIプラットフォームに対して実際の多段階侵入を実行しました。

Secure Code Warriorが発表した調査によると、AIが生成したコードには、1つのコードベースあたり平均15件の脆弱性が確認されています。

フロンティアAIが広報上の危機に直面しています。7月16日にHugging Faceが自社の内部環境が自律型エージェントによって侵害されたとするブログ記事を公開した後、OpenAIは7月21日に投稿を行い、このインシデントはGPT 5.6 Solと「リリース前のモデル」が管理されたテスト環境から脱出した際に発生したものであると説明しました。

Secure Code Warriorの調査によると、AIが生成したコードには、コードベースあたり平均15件の脆弱性が含まれていることが明らかになりました。

‍

Secure Code Warriorは、AIコーディングセキュリティの動的なベンチマークである「SCW AI Trust Index」を発表しました。この指標は新しいモデルが登場するたびに更新され、組織がAI生成コードに伴うセキュリティリスクを把握し、管理する一助となります。オーストラリアのRMIT大学と共同開発した手法を基にSecure Code Warriorが拡張したこの調査では、主要なLLMがどの程度の頻度で脆弱なコードを生成するかを包括的にベンチマークしており、AI支援開発を拡大するあらゆる企業にとって重要な示唆を含んでいます。

AIが生成したコードには、コードベースあたり平均15件の脆弱性が含まれていますが、実際のリスクは使用するモデルよりも、どのフレームワークと組み合わせるかによって大きく左右されます。

新しい「SCW AI Trust Index」により、AIが生成するコードの脆弱性リスクはランダムではなく、モデルやフレームワークごとに予測可能であることが判明しました。これにより、セキュリティリーダーはAIを活用した開発を安全に拡大するためのデータを手に入れることができます。

AI導入に伴う課題、絶え間ないアップデート、そして業界の覇権争いが急速に激化する中、セキュリティ専門家は、その広大なリスクプロファイルの影響を最も強く受けている立場にあります。

オーストラリア政府は、AIが国の将来の国益に不可欠であると明言しています。では、現状はどうなっているのでしょうか。AIと現代企業におけるその役割について、業界の第一線で活躍する専門家たちの見解をご紹介します。

‍

エージェント型AIの台頭はソフトウェア開発における構造的な転換点であり、生産サイクルの加速だけでなく、人間の直接的な制御を超えて自律的な推論と実行を行うシステムの導入を意味しています。

AIが生成したコードが一般的になる中、CISOには、開発者の慣行を評価し、AIツールの利用を管理し、本番環境に影響が及ぶ前にソフトウェアのリスクを特定するための新たな監査戦略が求められています。

2026年、このカテゴリーはかつてない重要性を帯びています。その理由は、AIコーディングツールやエージェントの普及により、コードの記述量やデプロイ、テスト、プロビジョニングの頻度が劇的に増加しているためです。プラットフォームエンジニアリングは、この開発スピードの向上を「価値ある成果」に変えるか、それとも「混乱」を招くか、その分かれ目となる重要なレイヤーです。

ガートナーの最新レポートによると、シャドーAIや野良オートメーションの横行が、AIの脆弱性をさらに増大させています。同社は、業務で生成AIツールを利用するIT担当者の32%が、その利用をサイバーセキュリティチームに隠していると指摘しています。ローコード／ノーコードプラットフォームや「バイブコーディング（vibe coding）」といった手法と相まって、AIコパイロットは企業の攻撃対象領域を大幅に拡大させています。

本記事では、セキュリティおよびリスク管理のリーダーに向けて、「組織がAIリスクを認識していることを示すためだけのポリシー」と「真に企業リスクを軽減するポリシー」を分かつものは何か、という核心的な問いを投げかけました。

Secure Code WarriorのPieter Danhieux氏が語る、AI主導の開発におけるリスク管理

生成AIがエンタープライズソフトウェア開発の現場に定着する中、ある馴染み深い分野がかつてないほど重要性を増しています。それはリスク管理です。

Secure Code Warriorは本日、業界初となるガバナンスソリューション「SCW Trust Agent: AI」を発表しました。これは、ソフトウェア開発におけるAIの影響をコミットの時点で可視化、帰属化、強制可能にするよう設計されており、企業はソフトウェアリスクを測定可能な形で制御しながら、AIコーディングツールの導入を拡大できるようになります。

アジャイル手法の最も重要な要素を中心にSDLCを再構築し、DevSecOpsを重視したセキュリティ対策を慎重に組み込んだとしても、私たちが知るAppSecはこれで終わりなのでしょうか？

Global InfoSec Awards 2026：Secure Code Warriorがサイバーセキュリティ・リスク管理およびコンプライアンス・エクセレンス部門で優秀賞を受賞

新しいAIソフトウェアガバナンスソリューションにより、AIが生成したコードをコミット時に可視化し、本番環境へのデプロイ前にポリシーを適用することで、実際の開発行動と測定可能なリスク低減を結びつけます。

Secure Code Warrior（SCW）は今週、AIコーディングツールによって生成されたコードを識別し、適切なガバナンスポリシーを自動的に適用するAIエージェントを追加しました。