CyberGlossary

アプリケーションセキュリティ

アプリケーションセキュリティ(AppSec)

別称: AppSec, ソフトウェアセキュリティ

定義

ソフトウェアのライフサイクル全体を通じて、悪用・改ざん・不正アクセスに耐えられるように設計・構築・テスト・運用する分野。

アプリケーションセキュリティは、ソフトウェアに悪用可能な脆弱性が存在せず、本番環境でも自衛できるようにするための人・プロセス・ツールを包括する分野です。脅威モデリング、セキュアデザイン、セキュアコーディング規約、コードレビュー、自動テスト(SAST、DAST、IAST、SCA)、依存関係の管理、WAF や RASP などのランタイム保護までを対象とします。AppSec チームは開発と協働して CI/CD パイプラインにセキュリティゲートを組み込み、修正コストが最も低い段階で脆弱性を検出します。目標は完璧ではなく、デリバリ速度・攻撃面・ビジネス影響のバランスを取った許容可能なリスク水準の達成です。

例

  • GitHub Actions パイプラインに Semgrep の SAST と Snyk の SCA スキャンを追加する。
  • リリースごとにステージング環境に対して OWASP ZAP の DAST スキャンを実行する。

関連用語