セキュア開発ライフサイクル(SSDLC).

SSDLC は、セキュリティ作業を単発の監査として扱うのではなく、ソフトウェア提供の中でいつ、どのように行うかを形式化します。代表的なフェーズには、セキュリティ要件、脅威モデリング、セキュアアーキテクチャレビュー、セキュアコーディング標準、コードレビュー、SAST、SCA、DAST/IAST、ペネトレーションテスト、リリースゲート、実行時監視が含まれます。経済的根拠は確立しています。設計段階で見つかった欠陥はリリース後に見つかったものの数分の一のコストで済むため、セキュリティを左シフトすることでリスクと修正コストの双方が下がり、コンプライアンス証跡は通常の開発の副産物として生成されます。

参照フレームワークは、Microsoft SDL(2002 年の Trustworthy Computing メモ後に生まれた最初の産業モデル)、成熟度測定のための OWASP SAMM と BSIMM、そして NIST SP 800-218、すなわち Secure Software Development Framework(SSDF v1.1、2022)です。SSDF は単なるベストプラクティスを超えて重要です。これは 大統領令 14028(2021 年 5 月)への対応として公表され、その大統領令自体が、攻撃者が署名済みの Orion 更新に SUNBURST バックドアを注入した 2020 年の SolarWinds ビルドシステム侵害への反応でした。OMB M-22-18 の下では、米連邦機関に販売するベンダーは SSDF のプラクティスに従うことを証明する必要があり、文書化された SSDLC は品質目標にとどまらず調達要件となっています。ビルド・リリースのパイプライン(来歴、署名、SBOM)を守ることは、いまやコード自体を守ることと同じくらい重要です。

flowchart LR
  A[要件: セキュリティ要件] --> B[設計: 脅威モデリング]
  B --> C[コード: セキュアコーディング + SAST/SCA]
  C --> D[テスト: DAST/IAST + ペンテスト]
  D --> E[リリース: ゲート + 署名 + SBOM]
  E --> F[運用: 監視 + パッチ適用]
  F -->|フィードバック / 新たなリスク| A