Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
OWT2017JP - The Shift Left Path
Search
OWASP Japan
September 30, 2017
Technology
6
2.2k
OWT2017JP - The Shift Left Path
#OWT2017JP
Closing session by Riotaro OKADA, OWASP Japan
OWASP Japan
September 30, 2017
Tweet
Share
More Decks by OWASP Japan
See All by OWASP Japan
OWASP Night 2019.03 Tokyo
owaspjapan
0
350
OWASP SAMMを活用したセキュア開発の推進
owaspjapan
0
1k
20190107_AbuseCaseCheatSheet
owaspjapan
0
180
セキュリティ要求定義で使える非機能要求グレードとASVS
owaspjapan
5
1k
AWSクラスタに捧ぐウェブを衛っていく方法論と死なない程度の修羅場の価値
owaspjapan
9
3.3k
Shifting Left Like a Boss
owaspjapan
2
300
OWASP Top 10 and Your Web Apps
owaspjapan
2
390
OWASP Japan Proposal: Encouraging Japanese Translation
owaspjapan
1
250
elegance_of_OWASP_Top10_2017
owaspjapan
2
530
Other Decks in Technology
See All in Technology
Flutterでキャッチしないエラーはどこに行く
taiju59
0
220
Autonomous Database - Dedicated 技術詳細 / adb-d_technical_detail_jp
oracle4engineer
PRO
4
9.9k
「何となくテストする」を卒業するためにプロダクトが動く仕組みを理解しよう
kawabeaver
0
160
La gouvernance territoriale des données grâce à la plateforme Terreze
bluehats
0
110
複数サービスを支えるマルチテナント型Batch MLプラットフォーム
lycorptech_jp
PRO
0
160
衝突して強くなる! BLUE GIANTと アジャイルチームの共通点とは ― いきいきと活気に満ちたグルーヴあるチームを作るコツ ― / BLUE GIANT and Agile Teams
naitosatoshi
0
310
【初心者向け】ローカルLLMの色々な動かし方まとめ
aratako
7
3.2k
Nstockの一人目エンジニアが 3年間かけて向き合ってきた セキュリティのこととこれから〜あれから半年〜
yo41sawada
0
200
2025年にHCP Vaultを学び直して見えた景色 / Lessons and New Perspectives from Relearning HCP Vault in 2025
aeonpeople
0
190
絶対に失敗できないキャンペーンページの高速かつ安全な開発、WINTICKET × microCMS の開発事例
microcms
0
390
Kubernetes における cgroup driver のしくみ: runwasi の bugfix より
z63d
2
160
AWSで始める実践Dagster入門
kitagawaz
0
220
Featured
See All Featured
No one is an island. Learnings from fostering a developers community.
thoeni
21
3.4k
I Don’t Have Time: Getting Over the Fear to Launch Your Podcast
jcasabona
33
2.4k
Fireside Chat
paigeccino
39
3.6k
Designing Experiences People Love
moore
142
24k
Build your cross-platform service in a week with App Engine
jlugia
231
18k
Reflections from 52 weeks, 52 projects
jeffersonlam
352
21k
Templates, Plugins, & Blocks: Oh My! Creating the theme that thinks of everything
marktimemedia
31
2.5k
Imperfection Machines: The Place of Print at Facebook
scottboms
268
13k
The Language of Interfaces
destraynor
161
25k
Designing for humans not robots
tammielis
253
25k
StorybookのUI Testing Handbookを読んだ
zakiyama
31
6.1k
Typedesign – Prime Four
hannesfritz
42
2.8k
Transcript
THE SHIFT LEFT PATH #シフトレフト への道 OWASP JAPAN LEADER 岡田良太郎
[email protected]
2017.9.30 #OWASP #OWT2017JP
ʮڭཆͱͯ͠ɺηΩϡΞϓϩάϥϛϯά͕Ұ൪Γͳ͍ʯ 3 http://itpro.nikkeibp.co.jp/atcl/interview/14/262522/090700192/ 奈良先端科学技術大学院大学 山口英教授
テスト(DAST) 直す 隠す 無視・ あきらめ テスト(SAST) 開発サイドの悩み アプリケーションセキュリティスキ ルとツールの不足 予算配分管理の欠如
デリバリー再優先 セキュリティチームの悩み 全アプリケーション資産の把握がで きていない 開発、セキュリティ、事業部のサ イロ化によるコミュニケーションコ スト増 脆弱性修正すると動かなくなるこ とへの恐れ 出典:SANS Institute (2015) Q. “Top Challenges for Builders and Defenders ” ? 「リリース間際のセキュリティテストは実施しています!」 しかも高額。
自動車の場合: 「何をどのように作るか」が重要 プレス 溶接 塗装 組立 検査 開発 生産技術 生産
Ͳ͜Ͱى͖͍ͯΔͷ͔
バリューチェイン 認識不足 ゆるい 要件 機能偏重 の設計 開発 ぜい弱 インシデン ト
ビジネスイ ンパクト SHIFT LEFT SHIFT LEFT SHIFT LEFT
“SHIFT LEFT TESTING” https://en.wikipedia.org/wiki/Shift_left_testing
“SHIFT LEFT TESTING” - DevOps https://en.wikipedia.org/wiki/Shift_left_testing コードレビュー ピアレビュー+自動化 テスト自動化 何時間もかかるSASTテスト?
デリバリー自動化 CI/CD とイシュートラッカー
SHIFT LEFT KPI • 運用管理チームは脆弱性やアプリケーションのログを管理し、 開発・設計チームへのフィードバックを提供しよう • 実装チームは、どうすればセキュアなのかを確信できる方法を構築しよう。 それをすぐに手早く検証できる手段を整備しよう •
設計チームは、つくりやすい・メンテしやすい・壊されにくいコンポーネントや、 アーキテクチャの選択、攻撃面の認識、リスクベーステスト計画を。 • 要件定義の段階でセキュリティ品質・施策の優先順位を決定しているか。 コンプライアンスの影響はどこにあるか。 • 開発・運用イニシアチブとして、情報・教育・ツールを備えよう。そして、更新しよう。 10
OWASP HOKUSHINETSU, OWASP AKITA OWASP NAGOYA 2017 坂梨 功典、村井 剛
OWASP NATORI 2017 佐藤 将太 OWASP FUKUSHIMA 2016 金子正人・山寺純 OWASP OKINAWA 2016 淵上真一・又吉伸穂 OWASP SENDAI 2015 小笠貴晴・ 佐藤ようすけ OWASP KYUSHU 2015 服部 祐一・花田智洋 OWASP KANSAI 2014 長谷川陽介・三木剛 OWASP JAPAN 2011 岡田良太郎・上野宣 OWASP Community in Japan
93 Active Projects
Case ©Asterisk Research, Inc. 13 s e p
Build your strategy! 14 s e p
設計段階でできることは実装に貢献する ©Asterisk Research, Inc. 15 0 10 20 30 40
50 60 70 80 90 100 設計 構築 検証 運用 1 6.5 15 対応コスト 100 SHIFT LEFT SHIFT LEFT
SHIFT LEFT ʮ աͪΛؾʹපΉ͜ͱͳ͍ɻ ͨͩೝΊͯɺ࣍ͷྐͱ͢Ε͍͍ɻ ͦΕ͕ɺେਓͷಛݖͩʯ ϑϧɾϑϩϯλϧ
SHIFT LEFT ʮඵͷ֬ೝͱ࣌ؒͷΓ͠ɺ Ͳ͕͍͍ͬͪʁʯ
SHIFT LEFT ʮͨΜΆΆΛΓ͚ͭΕɺ ण͕࢘͏·͘ͳΔͷ͔ͬͯʯ
Security is everyone’s responsibility
上野宣 (株)トライコーダ 安藤崇周 (株)オージス総研
⽥中圭介 東京⼯業⼤学 ⻲⽥勇歩 SCSK(株) ⻑⼭哲也 (株)神⼾デジタルラボ
松浦知史 東京⼯業⼤学 伊藤彰嗣 サイボウズ(株)
東京メイン会場 東京⼯業⼤学 ⼤岡⼭キャンパス 東⼯⼤蔵前会館
サテライトTOKYO-A EYアドバイザリー・アンド・コンサルティング(株)
サテライトTOKYO-B サイボウズ株式会社 東京オフィス
サテライトTOKYO-C LINE株式会社
サテライト札幌会場 クラスメソッド株式会社
サテライト名古屋 第1会場 愛知⼤学 名古屋キャンパス
サテライト名古屋 第2会場 (株)中電シーティーアイ
サテライト⼤阪会場 ファーストサーバ株式会社
サテライト神⼾会場 株式会社神⼾デジタル・ラボ
サテライト松江会場 松江オープンソースラボ
サテライト福島 会津若松会場 Eyes Japan
サテライト福岡会場 福岡⼯業⼤学
サテライト沖縄会場 国際電⼦ビジネス専⾨学校
SHIFT LEFT #シフトレフト
37 JOIN OWASP
Hardening 2017 Fes At 淡路島夢舞台 衛る技術、ここにあり WASForum.jp 10/3 出場申込締切 With
OWASP JAPAN