ウェブやスマホアプリのソフトウェア開発は、いまやIoTエコシステムを支える基礎技術になっています。同時に、IoTエコシステムによるサービス構築における安心と安全の実現には大きな懸念があり、セキュリティを組込み、また管理することの必要性をうたわれています。しかし、その実践は不可解で面倒なものと捉えられがちで、結果的になしくずしになる危険性があります。本講演ではOWASP-IoT Projectを紹介し、現実に想定される問題を概観しつつ、ビルトイン・セキュリティの実践の足がかりとなる「シフト・レフト」コンセプトの適用を論じます。

「日本をもっと安全にする」をミッションに掲げて情報セキュリティ・インフラストラクチャ・防災に取り組んでいるゲヒルン。社会に対してコンピュータを使った正しい「ハッキング」を行ってきました。すべての取り組みは「安全」のためのハックが始点になっています。小学6年生が始めたレンタルサーバー・サービス作りや、東日本大震災を機に取り組み始めた防災サービス、そして平成世代のセキュリティエンジニアが集まり、脆弱性を探し続けてきたゲヒルンの7年間を紹介しながら、印象に残る脆弱性や安全に関する問題について具体的な事例を交えてお伝えします。

アプリケーションの複雑化はとどまることを知らず、開発環境が急速に進化する中で、開発部門は脆弱性を水際で押さえることに苦労しています。本セッションでは、開発早期段階でセキュリティ脆弱性に取り組むための最先端の静的解析ツール Coverityの特別な機能についてご紹介します。静的解析ツールをソフトウェアの品質向上のためだけでなく、開発段階での脆弱性削減のために活用するためのベスト・プラクティスをご提供します。

近年IoTの台頭により、機器とシステムが自在に接続する世界になってきています。リコーの組込み製品においても、機器単体の信頼性だけではなく、システムも含めた品質確保が求められるようになってきています。品質確保していくための手段の1つとして、ソフトウェア静的解析の徹底化によるソースコード品質の確保に取り組むこととなりました。静的解析に関する基準を定め運用を徹底し始めたことで、検出される警告数が減ってきましたが、リリース直前に静的解析を行いリリースまでに対策が間に合わないケースも出てきました。効率的に品質確保を行うためのプロセスを定義し運用するために、CoverityとGitHubを連携させ導入しましたので、その事例についてご紹介します。

組込み機器からエンタープライズ・アプリケーションに至るまで、多くの業界でソフトウェアの役割が拡大していくのに伴い、ソフトウェアのクオリティとセキュリティはこれまで以上に重要となっています。市場における競争力の優位性を維持するために、アジャイル開発、継続的インテグレーション、DevOps環境におけるセキュア・ソフトウェア開発ライフサイクルの実行が重要です。一方で、開発、品質保証、セキュリティなどのチームは、プログラミング言語やフレームワークの変化、クオリティとセキュリティの要件、効果的なソフトウェアテストの方法論とツールの不足などの課題に直面しています。
本セッションでは、静的解析(Coverity)、ファジング・テスト(Defensics)、ソフトウェア・コンポジション解析(Protecode)の各製品の最新機能をご紹介し、あらゆる開発フェーズにおけるソフトウェアのクオリティとセキュリティの課題に対して、現在および将来にかけてどのように対処していくべきかについてお話します。

Nokiaは世界につながるテクノロジを創造しています。テレコムネットワークは、コミュニケーションと大量のデータを保存しておくための重要な基盤の一部として、高い信頼性を持たせるよう構築されています。テレコミュニケーションに関わる製品のセキュリティと堅牢性の強化は非常に重要です。
本プレゼンテーションではテレコムネットワーク・ベンダの視点から見た堅牢性テストについてお話します。

Building Security In Maturity Model (BSIMM)は、幾年にも渡って先進的なソフトウェア・セキュリティの取り組みを行っている企業の研究成果です。そういった95のソフトウェア・セキュリティの取り組みを通じて得られたデータによって構築されたモデルをご紹介します。
BSIMMはソフトウェアのセキュリティ・レベルを測る物差しであり、BSIMMを活用する最善の方法は、自社の取り組み結果をBSIMMが提示するデータと比較してみることです。そうすることによって自社のゴールと目的をはっきりさせることができ、今後どのように取り組むべきか明確にするためにBSIMMを活用することができます。
モデルによって説明される12個すべてのプラクティスでの多数のアクティビティによって導き出されるBSIMMのデータから、成熟度の高い取り組みは多方面にわたってバランスが取れていることが分かります。またこのモデルは、成熟度の高いソフトウェア・セキュリティの取り組みが、年数を経てどのように進化し、変化し、改善されていくかについて説明しています。