セキュア開発コンサルティング
GMO Flatt Securityのセキュア開発コンサルティングは、ソフトウェア開発プロセスの中で、脆弱性の作り込みやセキュリティリスクを最小化するためのセキュリティ支援サービスです。
DevSecOpsやシフトレフトの普及
近年、アジャイル開発やパブリッククラウドの浸透により、DevSecOpsやシフトレフトの取り組みが以前よりも徐々に普及してきました。
また、サプライチェーン攻撃や高度な攻撃手法の増大により、開発組織において早期からのセキュリティ対策や内製化の重要性が認識されるようになり、DevSecOpsへの関心が高まりつつあります。
日本では、2024年にデジタル庁が「セキュリティ・バイ・デザインガイドライン」を公開し、安心・安全なソフトウェア開発の重要性がビジネス課題としても認識されるようになりました。
概要：情報システムに対して効率的にセキュリティを確保するためには、情報システムの企画から運用まで一貫したセキュリティ対策（セキュリティ・バイ・デザイン）を実施する必要がある。本文書はシステムライフサイクルにおけるセキュリティ対策を俯瞰的にとらえるため、各工程でのセキュリティ実施内容、要求事項を記載するとともに、関係者の役割を定義する。
さらに、生成AIの急速な発展や開発環境での導入により、開発スピードが加速する一方で、専門的なセキュリティ課題の早期発見や解決もこれまでより急務となってきています。
セキュア開発コンサルティングのサービス内容
GMO Flatt Securityのセキュア開発コンサルティングでは、開発プロセスの上流工程における設計・仕様上の問題点を指摘するだけでなく、多くのプロジェクトで共通して発生しやすく、後々の手戻りや大規模な修正に繋がりやすい致命的な実装パターンに焦点を当て、開発スピードを損なわないように最低限押さえるべきセキュリティ支援を実施します。
ご支援内容
セキュア開発コンサルティングは、弊社のセキュリティエンジニアが以下のような支援を通じてセキュリティ上の懸念点を精査します。
| 主なセキュリティ支援 |
|---|
| アプリケーションの設計レビュー |
| 認証基盤や決済基盤の設計レビュー |
| クラウドインフラの構成レビュー |
| CI/CDプロセスの構成レビュー |
| 脅威モデリングの支援 |
| 技術スタックやサードパーティ等の選定支援 |
| 技術的な特殊機能や特殊要件の支援 |
提供をご依頼するデータ
セキュア開発コンサルティングでは、対象や要件に合わせて以下のような情報をご提供いただきます。
アプリケーションのソースコードや仕様書
TerraformやCDKなどのIaCに関するソースコード
インフラ構成図
パブリッククラウドの閲覧権限
セキュア開発コンサルティングのユースケース
GMO Flatt Securityのセキュア開発コンサルティングでは、開発スピードを損なわないように最低限押さえるべきセキュリティ支援を実施します。
そして、具体的な実装が進んだ段階において追加で脆弱性診断やペネトレーションテストをご依頼いただいた場合、実際のソースコードを詳細に分析し、早期段階では指摘困難な実装起因の問題を特定することが可能です。
このように、コンサルティング支援後の脆弱性診断やペネトレーションテストと組み合わせることで「早期に大きなリスクの芽を摘む」ことと「実装段階でソースコードに基づいた深い検査と具体的な支援」の双方を実施し、机上論ではない網羅的かつ実効性のあるセキュリティ対策を実現します。
そのため、セキュア開発コンサルティング単体でのご利用ではなく、以下のようなユースケースを推奨しています。
弊社の「セキュア開発コンサルティング」により、開発プロセスの上流工程で設計レビュー等を実施します。
セキュリティ支援後、または支援と並行してソフトウェア開発を実施していただきます。
その後、弊社の脆弱性診断やペネトレーションテストを実施します。
また、お客様のご要望に合わせて、中長期的なコンサルティング支援も提供しますので、お気軽にご相談ください。
GMO Flatt Securityが提供するサービス
ソフトウェアプロダクトの開発組織とそこで働くエンジニアに向けて様々なセキュリティサービスを提供しています。
セキュア開発コンサルティングの流れ
- 1
ヒアリング
お客様のご要望や懸念点等をヒアリングさせていただきます。
- 2
脅威モデリング
弊社のセキュリティエンジニアにより、対象におけるセキュリティリスクの洗い出しを実施します。
- 3
ご報告
調査結果から改善案や対策案を検討し、お客様に報告します。必要に応じてミーティングも実施します。
お見積もりは無料です。
診断のご依頼はお気軽にお問い合わせください。