OWASP SAMM ではじめる、プロダクトセキュリティの評価と中期計画/Product security assessment and mid-term plan using OWASP SAMM

Slide 1

Slide 1 text

OWASP SAMMではじめる、プロダクトセキュリティの評価と中期計画 2024/03/28　株式会社ワンキャリア蟹圭佑

Slide 20

Slide 20 text

Copyright © ONE CAREER Inc. All Rights Reserved. 現状のプロダクトセキュリティをOWASP SAMMに沿って評価 STEP1. 現状の評価 20 No. セキュリティ対策ストリームレベル評価項目 4 セキュアなデプロイ A.デプロイプロセス 1 100% ・デプロイメントプロセスを実行するために十分な情報がある・デプロイメントの文書が最新である・関連する利害関係者がアクセスできるデプロイメントの文書がある・指定された適格な人員のみがデプロイメントをトリガーできるように確認する・デプロイメントプロセスで使用されるツールを強化する 4 セキュアなデプロイ A.デプロイプロセス 2 50% ・すべての段階でデプロイメントプロセスが自動化されている・デプロイメントには自動化されたセキュリティテスト手順が含まれている・特定の脆弱性を特定した場合、責任あるスタッフに警告する・過去のデプロイメントのログを一定期間利用できるようにする 4 セキュアなデプロイ A.デプロイプロセス 3 25% ・整合性の侵害が検出された場合、デプロイメントを防止またはロールバックする・検証はビルド時に作成された署名に対して行う・署名の確認ができない場合（外部でビルドされたソフトウェアなど）、補償措置を導入する 4 セキュアなデプロイ B.秘密情報の管理 1 0% ・本番環境の秘密情報は安全な場所に保管されている・開発者は本番環境の秘密情報にアクセスできない・本番環境の秘密情報は非本番環境で利用できない 4 セキュアなデプロイ B.秘密情報の管理 2 100% ・ソースコードファイルにはアクティブなアプリケーションの秘密情報が含まれていない・通常の状況では、展開手順中には人間が秘密情報にアクセスしない・異常な秘密情報へのアクセスが試行された場合にはログを取得し、アラートを表示する 4 セキュアなデプロイ B.秘密情報の管理 3 75% ・信頼性のあるソリューションを使用して秘密情報を生成および同期する・異なるアプリケーションインスタンス間では秘密情報が異なる・秘密情報は定期的に更新する遵守率 58% OWASP公式に準拠し各ストリームを成熟度レベルごとに評価しつつも、独自評価のため「成熟度の段階的な達成関係なく、3段階の成熟度レベル全ての平均値」を指標として採用。 OWASP公式ではレベル1の基準を全クリアしないとレベル2・3に進めないが、レベル1基準が一部未達でもレベル2・3の基準が達成されるケースもあるため、「3段階の成熟度レベル全ての平均値」を指標としたかった（※具体的な数値はExampleです）

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text