Name: 開発速度を落とさないセキュリティ・テストのすすめ - モダンなWebアプリケーションを対象にした、IASTによるシフトレフトの実現
Start: 2022-06-29T07:00:00Z
End: 2022-06-29T07:00:44.000Z
Location: BrightTALK
Rating: 5

シノプシスのソフトウェア インテグリティ グループは、企業の安全で高品質なソフトウェアの構築と、リスクを最小限にしつつスピードと生産性の最大化させることに貢献します。シノプシスは、アプリケーション・セキュリティのリーダーであり、静的解析、ソフトウェア・コンポジション解析、動的解析ソリューションを提供しており、独自のコード、オープンソース・コンポーネント、およびアプリケーションの動作における脆弱性や不具合を迅速に見つけて修正するためのツール、ペネトレーションテストや静的解析、動的診断サービス、セキュア開発のeラーニング提供、コンサルティングなど総合的なサービスとツールを提供しています。

現代のWebアプリケーションは、ビジネスの中核を担う存在となっており、そのセキュリティはますます重要視されています。
DevSecOpsの考え方に基づき、開発段階と運用段階それぞれでセキュリティに対して責任を持ち、対策を実施することが不可欠です。

開発段階では、セキュリティを早期に組み込み、脆弱性の早期発見と修正が重要です。一方運用段階では、システムの変化に応じて脅威に対応するための継続的なセキュリティ対策が求められます。

本Webinarでは、Webアプリケーションセキュリティの主要な問題を背景に、DAST(ダイナミック・アプリケーション・セキュリティ・テスト)に焦点を当て、DASTがどのようにこれらの課題に対処し、攻撃リスクを低減できるかを紹介します。

主な内容
・Webアプリケーション・セキュリティの動向
・Webアプリケーション開発におけるDevSecOps
・開発・運用それぞれの観点での課題
・DASTによる課題解決のポイント

DASTで実現するWebアプリケーションセキュリティ～開発と運用、両方で取り組むリスク対策～

2027年までに、エンタープライズ ソフトウェア エンジニアの50%がAIを活用したコーディングツールを使用するようになるという予測があります。
AIが生成したコードを使うことで開発効率の向上が期待される一方で、開発したアプリケーションに脆弱性がないことの確認が求められます。
この講演では、ソフトウェア開発においてAIを活用する上での課題を整理し、ツールを使った対処方法をご説明します。

コード生成AIの活用とアプリケーション・セキュリティ

ソフトウェアの複雑化が進む現代において、サプライチェーン全体の可視性と管理はセキュリティ上の大きな課題となっています。
本講演では、SBOM（ソフトウェア部品表）がどのようにソフトウェア・サプライチェーンのセキュリティを強化するかについて探ります。
オープンソース・ソフトウェアのSBOMの生成、管理、利用方法を説明し、潜在的な脆弱性とライセンス競合の特定と対策についてご説明します。
セキュリティ担当者だけでなく、開発者やプロジェクトマネージャーにも有益な内容となっています。

ソフトウェア・サプライチェーン・セキュリティの最前線：SBOMの導入と活用

※本セミナーは、2024年4月に実施したセミナーと同じ内容です。ご質問は、Attachmentsタブのフォームよりお寄せ下さい

ここ数年、システム侵害による情報漏洩や事業停止のニュースを毎日のように目にするようになりました。
このような侵害の原因の多くには、他社製・自社製を問わずソフトウェアの欠陥があることが認識されてきています。

このような状況下において、開発現場の肌感覚としても、システム開発におけるセキュリティ・テストは必須であると考えられるようになってきているのではないでしょうか。
しかしながら、テストの実行者や担当者に目を向けると、この分野における人材の確保は、昨今ますます困難な状況となっています。
また、「どの製品もスペックは満たしているように見えるが自社の運用のイメージが見えて来ない。結果として見つけられる脆弱性の数や価格だけが比較対象となっており、数あるツールやサービスから何を選択すべきか分からない」といったご相談や、「実際にツールやサービスを購入したが、対処したいと考えていた脅威の動向や規制当局の要求に対してターゲットやテスト手法が異なっていた」というような失敗談も耳にします。

本セミナーでは、セキュア開発のために最適なツールとサービスの選択を支援すべく、ソフトウェアのセキュリティ・テストの一丁目一番地ともいえる「脆弱性診断」と「ペネトレーション・テスト」についてもう一度その基本的な知識からこれらの違い、さらに最新のトレンドまで解説します。 
また、シノプシスのソリューションの中から「Polaris fAST Dynamic」、「3D（サブスク型のマネージド・アプリケーション・セキュリティ・テスト）」と「WhiteHat Dynamic」にスポットを当てて、ソフトウェア開発における実践的な活用方法をご紹介します。

主な内容
・ソフトウェア開発の各フェーズにおけるセキュリティ・テスト解説
・脆弱性診断とペネトレーション・テストの違いと現在のトレンド
・リリース前のテストだけで十分では無い理由
・私ならこうする！シノプシスのセキュリティ・テストの使い方

そのセキュリティ・テスト、あなたのプロジェクトに最適ですか？　～脆弱性診断とペネトレーション・テストの選び方、使い方を徹底解説～

2024年7月より、UN-R155におけるCSMS適合開発が必須となりました。
また、UN-R156においてRxSWINを必須にする検討もなされています。
これらの要件を満たすために、セキュアなソフトウェア開発ライフサイクルを確立することが急務となっています。

本セミナーでは、SGSジャパンよりUN-R155/UN-R156の動向および関連規格について、日本シノプシスよりセキュアなソフトウェア開発ライフサイクルを確立するためのソリューションについてご紹介します。


セッション①「2024年7月よりUN-R155のCSMSが本格適用！UN-R155/156の最新動向」
SGSジャパン株式会社 C&P Connectivity Functional Safety プロジェクトマネージャ 河野 喜一様

2024年7月より、UN-R155におけるCSMS適合開発が必須になりました。また、UN-R156におけるRxSWINを必須にする検討がされています。本セミナーでは、テクニカルサービスの資格を持つSGS-TUEVの知見に基づき、UN-R155/UN-R156の動向、及び関連規格についてご説明いたします。

・UN-R155/156の動向
・ISO/SAE 21434・ISO 24089と関連規格
・適用時の課題と対策例


セッション②「CSMSの一環としてのセキュアなソフトウェア開発ライフサイクル」
日本シノプシス合同会社 プリンシパル・オートモーティブ・セキュリティ・ストラテジスト 岡デニス健五

UN-R155とUN-R 156は、サイバーセキュリティ（CSMS)とソフトウェアアップデート（SUMS)の管理システムを義務付けています。これらの要件を満たすために、組織は関連プロセスを確立し、活動を実施することが必要です。中でもセキュアなソフトウェア開発が重点分野のひとつとして挙げられています。
本セッションでは、UN-R155で要求されているサイバーセキュリティマネジメントシステム（CSMS）の構築を行ううえでの参照規格となっているISO/SAE 21434のいくつかの要件に着目し、組織がセキュアなソフトウェア開発ライフサイクルを確立し、これらの要件を満たすためのソリューションについて説明します。
さらに、これらのソリューションを用いて、開発者が脆弱性を早期に発見し修正するためのシフトレフトと自動化を支援し、コスト削減につなげる方法をご紹介します。

・CSMSとISO/SAE 21434の関連
・セキュアなソフトウェア開発ライフサイクルの確立
・適切なAppSecソリューションの導入

2024年7月よりUN-R155のCSMSが本格適用！UN-R155/156の最新動向

IMDRFや米国FD&C法をはじめとして、医療機器およびヘルスソフトウェアに対するサイバーセキュリティ対策の規制が厳格化しています。
2024年4月よりJIS T 81001-5-1が必須となった改正薬機法でも、開発・製造時はもちろんのこと、計画策定時から販売後の脆弱性情報収集/対応まで、ライフサイクル全体にわたるサイバーセキュリティ管理体制の構築とプロセスの整備が求められています。

本セミナーでは、SGSジャパンより医療機器・ヘルスソフトウェアに関わるセキュリティ法規・規制の概要を、日本シノプシスよりそれらに対応するためのソフトウェア・セキュリティ・ソリューションをご紹介いたします。


◆セッション1
「2024年4月より薬機法でも採用！医療機器セキュリティ法規・規制概要」
SGSジャパン株式会社　C&P Connectivity Functional Safety　プロジェクトマネージャ　河野 喜一様　

医療機器セキュリティ法規・規制の動向およびそれにより指定されているIEC 62443-4-1・IEC 81001-5-1（JIS T 81001-5-1）に従ったソフトウェアのセキュリティ開発プロセスについてご説明いたします。
　－医療機器のセキュリティ問題例
　－医療機器のセキュリティ法規と規格
　－医療機器のセキュリティ規格IEC 81001-5-1/IEC 62443


◆セッション2
「医療機器サイバーセキュリティ対策：JIS T 81001-5-1で求められるセキュリティ・テストとSBOM管理」
日本シノプシス合同会社　ソフトウェア・インテグリティ・グループ シニア・セールス・エンジニア　中野 哲也

近年、医療機器を狙うサイバー攻撃が巧妙化しており、患者の安全と組織の信頼を守るために、適切な対策が不可欠です。本セッションでは、本年から適合要件基準として採用されたJIS T 81001-5-1および医療機器のサイバーセキュリティ導入に関する手引書の内容から、医療機器サイバーセキュリティ対策で求められるセキュリティ・テストとSBOM管理の重要性と具体的な方法について説明します。


◆セッション3
「今求められる医療機器のサイバーセキュリティ対策と、それを支援するコンサルティング・サービス」
日本シノプシス合同会社　ソフトウェア・インテグリティ・グループ マネージング・プリンシパル　大森 健史

医療機器の製品ライフサイクルで必要とされている多岐にわたるサイバーセキュリティ活動を計画し、実施し、文書化するには、製品に対する知識はもちろんのこと、サイバーセキュリティについての深い造詣も必要となります。本セッションでは、今求められているサイバーセキュリティ対策を概説するとともに、シノプシス SIGが提供するコンサルティング・サービスの代表例として、サイバーセキュリティ・ポリシー/プロセス改善支援、SBOM管理改善支援、脅威モデリング、ペネトレーション・テストについてご紹介します。

対応できていますか？医療機器セキュリティ法規整合規格IEC 81001-5-1・IEC 62443概説と実践的対策

PwCコンサルティング合同会社と日本シノプシス合同会社は2024年3月、製造業におけるソフトウェア・サプライチェーン管理としてソフトウェア部品表（SBOM）を意識している日本企業を対象に、セキュリティ対策状況に関する調査を実施し、レポートにまとめました。

本セミナーはパネル・ディスカッション形式で開催いたします。パネリストとして、レポートの執筆者であるPwCコンサルティングの伊藤氏、サイバーセキュリティに造詣の深い日本経済新聞社の寺岡氏をお迎えし、同じく執筆者の日本シノプシスの松岡がモデレータ兼パネリストとして、それぞれの興味や視点から日本企業におけるソフトウェア・サプライチェーンの課題や現状について議論します。

「ソフトウェアサプライチェーン実態調査 SBOMを活用したサプライチェーン管理の課題」 を読み解く

※本セミナーは、2023年12月に開催された「第11回 自動車機能安全カンファレンス」における講演内容と同じです。
ご質問がある場合は、「Attachments」タブに表示されておりますお問い合わせフォームよりご連絡ください。
講演資料のダウンロードも、「Attachments」タブよりご利用いただけます。

SDV（ソフトウェアデファインドビークル）の台頭に伴い、自動車業界におけるソフトウェア開発手法は、リリースサイクルを短縮したアジャイルアプローチに従うように変化しています。
そのため、効率と市場投入までの時間を改善するために、自動化とテストへの注目が高まっています。

テストを強化することで、開発中の不具合を早期に発見し修正することが可能になり、サイバーセキュリティリスクとコストの削減につながります。結果としてより早いリリースが可能となります。

このような新しいソフトウェア開発アプローチでは、ソフトウェア開発ライフサイクル全体のサイバーセキュリティリスク管理が必須となります。本講演では、ソフトウェア開発ライフサイクルにおけるサイバーセキュリティリスク管理方法のワークフロー例を紹介します。

主な内容
・変化する車業界の開発
・アジャイルアプローチのソフトウェア開発
・サイバーセキュリティ懸念事項の事例
・製品セキュリティプラットフォーム
・セキュアなソフトウェア開発ライフサイクル
・コンプライアンス要件・ポリシーの定義
・サイバーセキュリティリスクとコンプライアンス

【自動車業界向け】アジャイルアプローチのソフトウェア開発におけるサイバーセキュリティリスク管理

アプリケーション・セキュリティにおいて、開発初期からセキュリティ要件を組み込み、迅速な開発とセキュリティの両立を目指す"DevSecOps"が重要なキーワードとなっています。

セキュリティ要件を満たすためには、アプリケーションに含まれる脆弱性やサプライチェーンマネジメントなど、幅広い対応が求められており、ツールを使用した自動化が一般的です。

また近年では、容易な導入と柔軟なスケーリングが可能なSaaSソリューションが注目されており、セキュリティ・ツールもクラウド環境への適応が進んでいます。

一方で、多種多様なツールの導入や管理には手間・コストがかかるという悩みも耳にします。

このような背景を受け、シノプシスはSaaS型アプリケーション・セキュリティ・ソリューションであるPolaris Software Integrity Platform（以下、Polaris）をご提供しています。

Polarisでは、シノプシスのSAST（ソースコード静的解析）、SCA（ソフトウェア・コンポジション解析）、DAST（動的解析）エンジンを統合し、ひとつのプラットフォームでの実行、結果確認を実現します。

また、CI/CDへのインテグレーションやポリシー設定、プロジェクトマネジメントに使用できるダッシュボードなど、DevSecOpsに取り組む方のニーズに合わせて最適化されております。

本セミナーでは、開発者とセキュリティ担当者それぞれの視点から、DevSecOpsの実現に向けた課題を整理し、Polarisを活用した解決方法をご紹介します。

【主な内容】
・Polaris の概要と特長の紹介
・静的解析、動的解析、ソフトウェア・コンポジション解析についての解説
・プロジェクトのセキュリティ対応状況の可視化の手法
・継続的なテストとDevSecOpsベストプラクティス
・ソリューションデモ

SaaSで加速させるDevSecOps：セキュリティとスピードの両立

脅威モデリングは、ソフトウェアとシステムおよびその稼働環境をモデル化し、適用可能な脅威を特定するための手法です。
脅威モデリングにより特定された脅威は、その発現可能性や影響度合いをもとにリスク判定されます。
また、その結果を受けて、リスクを受容可能なレベルまで緩和するための対策を特定し、セキュリティ要件として定義するとともに、リスクが軽減されていることを確認するためのテストをセキュリティ・テストの一環として計画することが期待されます。

これらの一連の取り組みは、各種サイバーセキュリティ関連法案や標準にて実施が推奨あるいは要求されています。
脅威モデリングは正にサイバーセキュリティ対策の根幹をなす取り組みだといっても過言ではないでしょう。
 
AppSecの専門家集団であるシノプシスSIGでは、コンサルティング・サービスとして脅威モデリングの実施、教育、および手順書作成支援などのサービスを提供しており、多くのお客様環境に対する経験から日々脅威モデリングを進化させています。
そこで、脅威モデリングに関する昨今の動向と、実践的な脅威モデリングの手法を紹介するセミナーを実施いたします。
 
主な内容
- 脅威モデリングの概要とメリット、および必要性
- 脅威モデリングを実施する上での前提知識と前提条件
- シノプシスの脅威モデリング手法
- Q&A

サイバーセキュリティ対策の根幹をなす「脅威モデリング」最新動向

ソフトウェア開発や商用ソフトウェアにおけるOSS利用が拡大の一途をたどっていることを背景に、ソフトウェアに含まれるOSSとそのリスクの把握が大きな課題となっています。
2021年の米国大統領令や、NIST SP800-218、Secure Software Development Framework(SSDF)、CRA(欧州サイバーレジリエンス法案)などの法規制やガイドラインでも、SBOM（ソフトウェア部品表）を使ったソフトウェア・サプライチェーン・リスク管理について言及されています。

シノプシスのオープンソース・セキュリティ&リスク分析レポート2024年版は、17業種にわたり1,000を超える商用のコードベースに含まれるOSSを監査した結果から得られたOSSの利用状況とリスクの現状、それらの分析をまとめたレポートの最新版です。

本セミナーでは、最新版のレポートをベースにOSS利用とそれに伴うリスクの現状を整理し紹介します。また、OSSのみならずソフトウェア・サプライチェーン全体のリスクを包括的なSBOMで管理する方法を紹介します。
あわせて新たに発表されたBlack Duck Supply Chain Editionについてもご紹介します。
Black Duck Supply Chain Editionは、オープンソース検出技術、サードパーティー製ソフトウェア部品表（SBOM）自動解析機能、マルウェア検出機能を組み合わせることで、オープンソースやサードパーティー製、AI生成のコードに由来するソフトウェア・リスクを包括的に把握することを可能にします。

主な内容
- OSSの利用の傾向と脆弱性やライセンスのリスクの現状
- OSSを含めたソフトウェア・サプライチェーンのリスク
- OSSとそのリスクを適切に管理するための手法と課題の整理
- シノプシスが提案する効率的なソフトウェア・サプライチェーン管理
- Q&A

OSSRA レポート2024年版解説とSBOMによるサプライチェーン管理のベストプラクティス

自動車や医療機器、あるいはネット販売や金融業をはじめとして、さまざまな製品やサービスがソフトウェアで成り立っている昨今、ソフトウェアにおけるサイバーセキュリティ対策の重要性がますます増加しています。

これらの製品やサービスに含まれるソフトウェアは、自社で開発したものだけではなく、商用製品やオープンソース、あるいは外部に委託して開発されたものなどさまざまな種類のソフトウェアの組み合わせでできています。
これらソフトウェアのサプライチェーンにおいて、様々なサイバーセキュリティ上の問題が発生していることを背景に、ソフトウェア・サプライチェーン・リスク管理（SSCRM）の必要性が声高に叫ばれ、各種規制として求められるようになってきています。

本セッションでは、実際のソフトウェア・サプライチェーンで発生した問題と各種規制を振り返った上で、最新のBSIMMレポートから見えてきた各社の対策状況とトレンド、ならびにセキュアなソフトウェア開発のために今後必要となる取り組みをご紹介します。


主な内容：
・ ソフトウェア・サプライチェーン攻撃の実例
・ ソフトウエア・サプライチェーン・リスク管理（SSCRM）の必要性と各種規制
・ BSIMM14レポートから読み取るセキュア・ソフトウェア開発ライフサイクルにおけるトレンド
　　　-SSCRM、SBOM管理、OSS管理、ベンダー管理
　　　-自動化によるサイバーセキュリティ対策の加速
　　　-新しい取り組みと今後のトレンド
・ SSCRM強化のための取り組みとシノプシスの支援
　　　-ソフトウェア・コンポジション解析（SCA）
　　　-SBOM管理改善計画策定
　　　-SSDF準備状況調査

ソフトウェア・サプライチェーン・リスク管理の必要性と実践 〜BSIMM14レポートから読み取るSSCRMの現状とトレンド

※本セミナーは、2024年3月の Security Days Spring 2024 における講演内容と同じです。

EU CRA、IMDRF、FDAや米国大統領令など、世界中で登場した様々な規制において、新たにSBOMというソフトウェアのリスク管理のツールが登場しました。
実際の運用開始はこれからということもあり、どのように試行錯誤するのが良いか悩んでいる組織が少なくないと思います。
本講演では、シノプシスが発行している同名のガイドをもとに、具体的な確認事項と対処方法について考えていきます。

主な内容：
・より安全な製品やサービスの実現のために
・EU CRA、IMDRF、FDAや米国大統領令など規制の現状
・脆弱性管理 ≠ SBOM
・6つの提言に基づいた具体的なSBOM作成のプラクティス

「単なる文書」で終わらせない SBOM 作成のための処方箋

本セッションでは、シノプシスのセキュリテイ・テスト・ツールの最新情報と、我々シノプシスのツール群をより効果的にご利用いただくための秘訣をご紹介いたします。

まず、Coverity2023.12の機能から、Dart/Flutterのサポートについてご紹介をします。Dart/Flutterはモバイルアプリケーションにおいて最近よく使われる言語ですが、CoverityでもAPI関連の脆弱性などを検出することが可能になりました。

続いて、アプリケーション・セキュリティ態勢管理（ASPM）という新しいソリューションをご提供しますSoftware Risk Managerという製品のコンセプトと新機能をご紹介します。Software Risk Managerは、ソフトウェア開発ライフサイクル(SDLC)における問題の可視性を向上させるだけではなく、SDLC全体でのセキュリティ・リスク管理を統一することで、セキュリティ態勢を強化します。
 
既存ツールの効果的な使い方のTipsとしましては、Trivy、Grypeといった無償のSBOM生成ツールで出力したファイルを、どのようにBlack Duckに取り込むかについてご紹介をします。
また、2038年問題をCoverityで検出できる「Y2K38_SAFETY」チェッカーをご紹介します。

最後に、弊社が製品に関してご提供しております技術記事の中で、お客様に数多く参照いただいているコンテンツを3点ご紹介いたします。
- Black Duck：マッチしなかったコンポーネントの特定
- Coverityチュートリアル：ビューと通知
- Coverity プラグインをIntelliJにインストールする方法

シノプシスのセキュリティ・テスト・ツールをより効果的に利用頂くための秘訣（2024年3月版）

ソフトウェア・デファインド・ビークル（SDV）によって変革期を迎えている自動車業界において、自動車を対象としたサイバー攻撃の増加が問題となっています。
2022年1月には国際連合欧州経済委員会（UN／ECE）によって、UN-R155 自動車サイバーセキュリティ法規が施行されました。
日本でも、このUN-R155が道路運送車両法に取り込まれ、対象となる車両については、サイバーセキュリティ対策が施されていないと保安基準を満たしていないと見なされ、販売認可が得られないという状況になっています。

UN-R155 サイバーセキュリティ法規に適合するためには、自動車のサイバーセキュリティを担保する必要があります。そこで大切になってくるのが、自動車のサイバーセキュリティ法規に適合するための認証、ISO/SAE 21434です。

本セミナーでは、テュフズードジャパンよりISO/SAE 21434認証の最新動向の紹介を、日本シノプシスよりISO/SAE 21434で求められるセキュア開発に役立つ脆弱性事例の解説とセキュア開発ソリューションのご案内をいたします。


◆セッション1
「欧州における自動車サイバーセキュリティ ISO/SAE 21434認証の動向」

テュフズードジャパン株式会社　
MO&RI事業部　エンジニアリング部　自動車サイバーセキュリティエキスパート
西田 俊子 様

自動車を対象としたサイバー攻撃が増加する中で、「国際規格ISO/SAE 21434 自動車サイバーセキュリティエンジニアリング」が発効されました。
自動車業界各社では、ISO/SAE 21434に準拠した基準・規程の整備、プロセス構築などの取り組みがなされており、欧州では認証取得の例も増えてきました。

本セミナーでは、国連協定規則UN-R155および国際標準規格ISO/SAE 21434 各々の位置づけと関係について注意すべきポイントを解説します。
ISO/SAE 21434については、製品ライフサイクルフェーズと、規格書の各章との関係、見落としがちな点について解説していきます。
そしてISO/SAE 21434認証の意義を、欧州における役割も交えながらご説明します。

主な内容：
・UN-R155 と ISO/SAE 21434との関連
・ISO/SAE 21434 概説
・ISO/SAE 21434 認証について
・まとめ


◆セッション2
「ISO/SAE 21434適合のためのセキュア開発ソリューション」

日本シノプシス合同会社
シニア プリンシパル オートモーティブ セキュリティ ストラテジスト & エグゼクティブ アドバイザー
岡デニス健五

車載システムの開発に関連するISO/SAE 21434の要件は多数あります。
特にセキュアな開発プロセスに応じてセキュアソフトウェア開発、セキュアコーディング、OSS管理、ファジングテスト、セキュリティリスク管理の活動があります。
本セミナーでは、日本シノプシスより、ISO/SAE 21434に基づいたプロジェクトプロセスに関連するセキュリティソリューションの最新情報についてご紹介いたします。

主な内容：
・車載システムの脆弱性事例の解説
・ISO/SAE 21434に関連サイバーセキュリティ活動の例
・車載システムのセキュアな開発プロセス
・ISO/SAE 21434の開発要件に対するソリューションの紹介

自動車サイバーセキュリティ最新情報 ～ISO/SAE 21434認証取得のためのセキュア開発の秘訣

※本セミナーは、2023年7月に開催された回の再放送です。
※ご質問は、Attachmentsタブに記載のお問い合わせフォームからお送りください。

現在のソフトウェア開発において、Web APIは不可欠な技術となっています。
Webトラフィックの83%をWeb APIが占めると言われる中、近年はマイクロサービスアーキテクチャなど、Web APIを活用した新しい技術の導入がさらに加速しています。GraphQLなどAPI用のクエリ言語の活用も進んでおり、Web APIの需要はますます高まってきています。

一方で、API の可視化と統制ができていないと、重要なシステムや機微なユーザー情報の安全が脅かされます。また、APIをセキュアにする取り組みにおいては、OWASP Top 10 API Security Risksに代表されるようなWeb APIのセキュリティリスクや、シャドウAPIやゾンビAPIのように適切に管理できていないAPIの問題が報告されています。

本セミナーでは、Web APIの現状と課題を整理し、Web APIをどのようにセキュアにしていくべきか、シノプシスが提案する効率的な管理の方法を実例を交えてご紹介します。

主な内容：
・Web APIの現状
・Web APIの課題とセキュリティ・リスク
・APIのサプライチェーンリスクとシャドウAPIの検出
・APIの自動テスト
・APIのペンテスト
・Web APIをセキュアにするためのポイント

Web API セキュリティ・テストの実践

日本では、多くの金融機関が自社のWebアプリやWebサービスAPIの構築をSIer等の第三者に依頼しています。納品時にセキュリティ・テストを行う事を契約に含めることで、セキュリティを担保しようとする例も増えてきています。それでも世界中でWebサービスが侵害される事例が多いのはなぜでしょうか。本セッションではなぜ納品時のテストだけでは不十分なのか、またその対策としての継続的な脆弱性管理ソリューションについてご紹介します。

１．脆弱性検査をしたシステムがなぜ侵害され続けるのか
２．リリース時の脆弱性スキャンだけでは役に立たない理由
３．継続的な脆弱性管理によってWebサービスを安全に保つ方法

※本セミナーは2024年2月20日に開催された、Finance Forum「巧妙化が進むサイバー攻撃と実効的なセキュリティ対策」にて発表した講演内容と同一のものとなります。

日々発見される新たな脆弱性と攻撃手法への対処 ～Webアプリの安全性を維持し続けるために～

※本セミナーは、2023年4月に開催された展示会Medtech Japanでの講演内容と同じです。

いくつかの調査データが明らかにしてくれたのは、世界的に、医療業界は、もっともサイバーインシデントによる被害額の大きな業種であるということです。
これは個人情報の窃取だけでなく、人命に関わるインシデントも含まれます。

もちろん、国内ではITリテラシーの問題が揶揄されていますが、他の業種同様に、IT技術、特にソフトウェアの問題に目を向けることも重要です。

このセッションでは、医療機関で使われるソフトウェアを利用した機器やシステムに潜む、ソフトウェアならではのリスクを振り返りつつ、それらの製品やサービスを開発提供する組織のみなさんが医療に携わる方達のリスクを低減するため、ソフトウェアを用いた開発において、どのようなことに気を配る必要があるのか整理してみます。

IMDRFやEUのCyber Resilience Actなどのサプライチェーン・セキュリティへの取り組みと、脆弱性のリスク対策の観点

モダンなWebアプリケーションの多くはWeb APIを用いて他サービスと連携することにより、新たなビジネス価値を生み出し続けています。一方でこれらのAPIは攻撃対象になりやすいため、エンドポイントとデータフローを把握し、脆弱性を早期に発見する必要があります。

このような背景を受けて、Webアプリケーション診断等の動的テストはますます重要視されるようになってきました。しかし従来の動的テストは、専任のテスターが必要であること、開発プロセスの後段に実施されるため開発者へのフィードバックが遅いことから、速度と効率が求められる近年の開発プロセスに組み込みにくいという課題を抱えていることも事実です。

機能テスト中に脆弱性の自動検出が可能なSeeker(IAST)は、開発速度を落とすことなくWebアプリケーションの実行時の脆弱性を特定できるアプリケーション・セキュリティ・テスト・ツールです。
モダンな言語及びフレームワークへの対応、エンドポイントの可視化及び自動テストの機能によって、堅牢かつスピーディなアプリケーション開発に貢献します。
本セミナーでは、Seekerの概要とこれらの機能の紹介、及びCI/CD等のモダンな開発環境でのテスト方法を紹介します。

 
主な内容
・動的テストの課題
・Seekerの概要
・言語及びフレームワーク対応
・エンドポイントリスクの可視化
・CI/CDパイプライン上での自動テストのデモンストレーション
・Q&A

開発速度を落とさないセキュリティ・テストのすすめ - モダンなWebアプリケーションを対象にした、IASTによるシフトレフトの実現

Security

Cloud

Application Development

Intellectual property law is crucial to ensuring that you or your organization have exclusive rights to that assets that you’ve created. The BrightTALK intellectual property community has thousands of professionals focused on learning and exchanging information about intellectual property management, intellectual property software and how to protect intellectual property. Join the community for access to free, interactive presentations or attend live webinars to have your questions answered by IP lawyers and industry experts.

Intellectual Property

The legal community on BrightTALK combines the fields of employment law, e-discovery, intellectual property and environmental law to create a thriving ecosystem of legal resources. Attend live and on-demand webinars dealing with employment contract law, e-discovery solutions, intellectual property software and sustainable development from leading lawyers and legal professionals to gain knowledge in a wide range of fields. Join the community and be part of the conversation by attending live legal webinars and connecting with industry thought leaders.

Legal

The IT security community on BrightTALK is composed of more than 200,000 IT security professionals trading relevant information on software assurance, network security and mobile security. Join the conversation by watching on-demand and live information security webinars and asking questions of experts and industry leaders.

IT Security

Increasing expectations for good governance, effective risk management and complex demands for corporate compliance are presenting a growing challenge for organizations of all sizes. Join industry thought leaders as they provide you with practical advice on how to implement successful risk and compliance management strategies across your organization. Browse risk management resources in the form of interactive webinars and videos and ask questions of expert GRC professionals.

IT Governance, Risk and Compliance

The application development community features top thought leadership focusing on optimal practices in software development, SDLC methodology, mobile app development and application development platforms and tools. Join top software engineers and coders as they cover emerging trends in everything from enterprise app development to developing for mobile platforms such as Android and iOS.

Enterprise applications have become a crucial piece of infrastructure for many businesses. The enterprise applications community on BrightTALK features the latest insights in enterprise application integration, enterprise application architecture and EAS software. Join the community to gain access to thousands of videos and webinars presented by recognized enterprise information systems experts and arm yourself with the knowledge you need to succeed.

Enterprise Applications

Join thousands of engaged IT professionals in the application management community on BrightTALK. Interact with your peers in relevant webinars and videos on the latest trends and best practices for application lifecycle management, application performance management and application development.

Application Management

As an IT professional, many of the problems you face are multifaceted, complex and don’t lend themselves to simple solutions. The information technology community features useful and free information technology resources. Join to browse thousands of videos and webinars on ITIL best practices, IT security strategy and more presented by leading CTOs, CIOs and other technology experts.

Information Technology

Internal audit and compliance professionals are facing increasingly stringent regulatory requirements when it comes to compliance reporting and internal control procedures. Join the audit and compliance community to learn best practices from thought leaders on topics such as regulatory compliance, internal audit checklists and audit program strategies.

Audit and Compliance

Get powerful market trends insights that are shaping the M

Mergers and Acquisitions

The accounting and finance community on BrightTALK features presentations from leading accountants and finance professionals. The accounting community includes tax planning strategies, QuickBooks webinars and other accounting webinars, while the finance community features presentations on financial capital regulations and forensic data analytics. Join the conversation by attending live financial and accounting presentations and connecting with industry thought leaders.

開発速度を落とさないセキュリティ・テストのすすめ - モダンなWebアプリケーションを対象にした、IASTによるシフトレフトの実現

Presented by

About this talk

More from this channel