SEC11-BP08 ワークロードチームにセキュリティのオーナーシップを根付かせるプログラムを構築する
ビルダーチームが、作成するソフトウェアに関するセキュリティの決定を行えるようにするプログラムやメカニズムを構築します。セキュリティチームは、引き続きレビュー中にこれらの決定を検証する必要がありますが、ビルダーチームにセキュリティのオーナーシップを根付かせることで、より迅速でセキュアなワークロードの構築が可能になります。このメカニズムは、構築するシステムの運用に良い影響を与える、オーナーシップのカルチャーを育みます。
期待される成果: チームにセキュリティの所有権と意思決定が組み込まれます。セキュリティについての考え方についてチームにトレーニングを実施した、あるいは埋め込みまたは関連するセキュリティ担当者でチームを補強しました。その結果、チームは開発サイクルの早い段階で、より質の高いセキュリティ上の意思決定を行えます。
一般的なアンチパターン:
-
セキュリティ設計に関するすべての意思決定をセキュリティチームに委ねる。
-
開発プロセスの十分に早い段階でセキュリティ要件を策定していない。
-
プログラムの運用に関して、ビルダーとセキュリティスタッフからのフィードバックを入手していない。
このベストプラクティスを活用するメリット:
-
セキュリティレビューを完了するまでの時間が短縮されます。
-
セキュリティのレビュー段階でようやく検出されるセキュリティ問題が低減されます。
-
作成されるソフトウェアの全体的な品質が向上します。
-
システム的な問題や価値の高い改善領域を特定し、理解する機会が創出されます。
-
セキュリティレビューでの検出結果に基づくやり直しが低減されます。
-
セキュリティ機能に関する認識が改善されます。
このベストプラクティスを活用しない場合のリスクレベル: 低
実装のガイダンス
SEC11-BP01 アプリケーションのセキュリティに関するトレーニングを実施する のガイダンスから始めます。その後、組織に最適と思われるプログラムの運用モデルを特定します。主な 2 つのパターンは、ビルダーへのトレーニングの実施、またはビルダーチームへのセキュリティスタッフの配置です。初期アプローチの決定後、組織に適したモデルであるかどうかを検証するために、単一または小規模のワークロードチームに対してテストを実施します。プログラムの実行と成功には、組織のビルダーおよびセキュリティ部門のリーダーシップによるサポートが役立ちます。このプログラムを構築する際は、プログラムの価値を測定できるメトリクスを選択することが重要です。AWS がこの課題にどのようにアプローチしたかを学ぶことは、良い学習経験になります。このベストプラクティスは、主に組織の変化と文化に重点を置いています。ビルダーとセキュリティのコミュニティ間のコラボレーションをサポートするツールを使用します。
実装手順
-
アプリケーションのセキュリティに関するビルダーのトレーニングから始めます。
-
ビルダー教育のためのコミュニティとオンボーディングプログラムを作成します。
-
プログラムの名称を決定します。よく使用される名称は、ガーディアン、チャンピオン、アドボケイトなどです。
-
ビルダートレーニング、セキュリティエンジニアの配置、セキュリティスタッフとの連携、という三択から、使用するモデルを選択します。
-
セキュリティ部門、ビルダー部門、および他の潜在的な関連部門から、プロジェクトスポンサーを特定します。
-
プログラムに参加する人数、レビューに要した時間、ビルダーやセキュリティスタッフからのフィードバックを測定するメトリクスを追跡します。これらのメトリクスを使用して、改善を行います。
リソース
関連するベストプラクティス:
関連ドキュメント:
関連動画:
