ソフトウェア開発には、攻撃に悪用される可能性のあるセキュリティの脆弱性につながるリスク （主にバグやコーディングの誤り）が存在します。まったくエラーのないソフトウェアがリリースされることはこの業界では稀です。セキュリティリスクをもたらすバグやその他の不適切な実装は特定し、修正する必要があります。ただし、セキュリティ対策が、開発されたソフトウェアに対してテストを実施した後に発見された問題の修正に限定される場合、そのような修正は重要ではあるものの、根本的な問題に適切に対処できておらず、表面的な修正となってしまう可能性があります。
Axisでは、セキュリティへの配慮には、開発プロセスの最後だけでなく、最初から最後まで全体を通じて取り組むべきであると考えています。なぜなら、アプリケーションの要件設定、設計・実装フェーズ、検証、展開に至るまで、さまざまなソフトウェアの開発フェーズで複数の意思決定が行われるからです。各フェーズにおいて、開発者、アーキテクト、およびプロダクトオーナーは、ソフトウェアが完全に構築された後に変更することが困難な意思決定を行うことになります。 .
Axisのセキュリティ開発モデル
サイバーセキュリティに効果的に対処し、ソフトウェア開発ライフサイクルにサイバーセキュリティを確実に統合するために、Axisでは、Axisセキュリティ開発モデル(ASDM)と呼ばれる方法論を導入しています。これは、ソフトウェア開発のさまざまなフェーズで考慮すべきさまざまなセキュリティ活動を説明するものです。その目的は、サイバーセキュリティのベースラインを確立し、ガイダンスを提供することで、脆弱性だけでなく、開発コストも削減します。これにより、開発チームは何を期待されているかを知り、セキュリティ関連の決定を伝えることが容易になります。
ASDMツールボックスは、リスクアセスメント、脅威モデル、脅威モデルテスト、静的コード分析、脆弱性スキャン、ベンダー評価といった、さまざまなセキュリティ問題に対処できるようにしています。開発チームは、開発するソフトウェアの種類によって、特定の活動に従事することもあれば、しないこともあります。ASDMはリスクベースのアプローチを提供し、セキュリティ関連の活動が最も重要なときに確実に実行されるようにするため理想的です。目標は、プロセスへの準拠を達成することではなく、サイバーセキュリティを達成することです。
ASDMのすべての作業は、新しい機能やアプリケーションがセキュリティリスクをもたらすかどうかの評価から始まります。ほとんどの場合、リスクアセスメントに続いて、脅威のモデリングと脅威モデルテストなどが行われます。システム、ユースケース、脅威、対策が決定されます。コードのレビューと分析が行われ、検証が行われます。
Axisの各種ソフトウェアに対する侵入テスト（サイバー攻撃のシミュレーション）は、第三者である専門企業によって毎年実施されています。このテストは、AxisとAxisパートナー企業によって開始され、当社のソフトウェアに対する独立したレビューを提供し、当社のソフトウェアセキュリティの取り組みに貢献します。テスト結果は、AxisソフトウェアセキュリティグループがASDMを通じて行われた作業を評価し、ASDMを改善する必要があるかどうかを評価するために使用されます。また、外部のセキュリティ研究者がAxis製品セキュリティチームに報告する、新たに発見された脆弱性の調査結果についても同様です。外部のセキュリティ研究者と第三者による侵入テストの結果は、どちらも当社の製品や作業方法の改善に役立っています。重要なのは、Axisセキュリティ開発モデルは、常に進行中の作業であるということです。
Axisセキュリティ開発モデルの重要な要素は、チーム中心のアプローチです。ソフトウェアを作成する開発チームは、そのソフトウェアのセキュリティ状態にも責任を持ちます。Axisでは、50の開発チーム所属する1,100人以上の開発者が日々の業務にASDMを適用しています。この作業において開発チームを支援しているのは、Axisソフトウェアセキュリティグループ (SSG) と最前線のサポートのSSGサテライトで働く40人以上の開発者たちです。SSGは、トレーニングやセキュリティツールボックスの提供をはじめ、さまざまなチームへのフォローアップや、必要に応じてASDMの強化を行う責任を負っています。一方、SSGサテライトは、多数の異なる技術スタックや作業方法があるため、各チームのニーズに合わせてASDMを調整する手助けをしています。ソフトウェアチームのマネージャーとディレクターは、チームのASDM作業のフォローアップやソフトウェアのセキュリティに責任を持ちます。
ASDMの確立
ASDMは2015年に確立され、2017年にAxisソフトウェア開発チームが従うことが義務付けられました。導入前、Axisの開発チームは、責任感、エンジニアリングの誇り、透明性、相互評価を奨励するAxisの共通文化に触発された、ソフトウェア開発のさまざまなベストプラクティスに従っていました。チームは高品質のプログラムを実現していましたが、Axisには、セキュリティへの配慮を開発プロセスに組み込む好ましい方法を定義する共通の方法がありませんでした。サイバーセキュリティの重要性が増し、ベストプラクティスが進化していく中で、作業方法の改善も必要になってきました。
共通の実行可能なアプローチを見つけるため、Axisは、ISO 27001、IEC 62443、NIST、BSIMM、CMMCなど、開発におけるセキュリティを直接または間接的に扱う既存のサイバーセキュリティ標準やフレームワークを検討しました。これらの標準とフレームワークの共通点は、セキュリティを開発のさまざまな段階にセキュリティを組み込む必要があるということです。また、これらの規格やフレームワークは、ユーザーをベストプラクティスに導き、サイバーセキュリティに関して簡単にコミュニケーションできるような共通の語彙を作り出します。
しかし、ASDMは既存の標準やフレームワークを単純に実装したものではありません。さまざまな標準やフレームワークの多くの有益な側面を採用し、Axisの企業文化と開発手法に合うように調整されています。テーラーメイドのモデルを採用することで、さまざまな種類のソフトウェアに対応することができます。また、サイバー脅威と対策が絶えず進化する環境において、新しいベストプラクティスに対応することも可能です。つまり、ASDMは、Axisのソフトウェア開発チームが最大限の影響を与え、セキュリティをソフトウェアに真に統合することを可能にします。