c2.20 開発の早い段階でセキュリティチームを関与させる
セキュリティチームと開発チームは初日から協働し、リリース直前にセキュリティを後付けするのではなく、最初からセキュリティを考慮してアプリケーションを設計すべきです。
実装ガイダンス
設計フェーズにセキュリティを持ち込む
アプリケーションは、セキュリティチームが早い段階（設計や最初のプロトタイプの時点）で関与するときに安全に作られます。本番デプロイの直前ではありません。開発者を遅れて批判すると、協働関係ではなく摩擦が生まれます。各アプリケーションに必要な保護を最初から計画し、開発者が質問しやすいようセキュリティチームを身近にします。
協働を能動的にする
- アーキテクチャと設計の意思決定にセキュリティ担当者を含めます。
- コードを書く前の早い段階で、開発者にセキュリティのベストプラクティスのガイダンスを提供します。
- アプリケーションのセキュリティレビューを、直前ではなくリリース日の十分前に実施します。
関連
この土台は、後のフェーズの Security Champions と DevSecOps へと発展します。
How to validate
- セキュリティチームは開発者と能動的に協働していますか、それとも受動的ですか？
- 設計フェーズやアーキテクチャの意思決定にセキュリティ担当者が参加していますか？
- セキュリティは早期にベストプラクティスのガイダンスを提供し、リリースの十分前にレビューを行っていますか？
- セキュリティチームは開発者の疑問に対して連絡しやすいですか？
Threats addressed
- セキュリティの関与が遅いと、是正する時間が残っていないために脆弱性が本番に到達します。そして公開された Web アプリケーションは攻撃者の侵入口になります。