セキュア開発の<s>3つの</s>敵

Editor's Notes

1. ほとんどの組織で行われているセキュリティテストは、開発・テストのサイクルとは無関係に実施されています。そのほとんどが「診断して、問題があれば、治す」というやり方で行われています。セキュリティチームが診断ツールを用いてテストを行ったり、侵入テストを実施して出てきた問題点を、「修正が必要な脆弱性リスト」として開発チームに渡して終わりです。この状況はさながら、「車輪を回し続けているハムスター」と同じではないでしょうか。もっと良いやり方があるはずです。 　セキュリティテストも、ソフトウエアエンジニアリングの一部として統合されたプロセスであるべきです。「テストによって品質は作り込めない」と言われますが、セキュリティに関しても同じです。プロジェクトの最後の局面でセキュリティテストを行うだけでは意味がありません。「テストによってセキュリティは作り込めない」のです。手動で検証するにせよ、ツールを用いて自動でテストするにせよ、開発プロジェクトの早い段階から繰り返し何度も検証する必要があります。
2. HIPAA 違反には州政府レベルと連邦政府レベルの両方で、刑事処分や民事処罰が課せられます。しかもこれらの罰則は、HITECH 法でさらに厳しくなっています。連邦政府レベルでは、民事上の罰金として 1 年間最大 150 万ドルが課せられ、刑事処分については 10 年の懲役と、最大 25 万ドルの罰金が課せられることもあります。これとは別に、州政府による罰則もあります。
3. About One hundred years ago, the “unsinkable” Titanic foundered after striking an iceberg off the coast of Newfoundland. More than 1,500 people died in what became one of the deadliest maritime accidents ever. Several factors contributed to this massive death toll, but perhaps the most critical was that there simply weren’t enough lifeboats. The ship carried 2,224 people, but fewer than half of them could squeeze into the boats. As we know, passengers who didn’t get a spot in one of those lifeboats quickly died in the freezing waters of the North Atlantic. What’s less well known is that the Titanic’s supply of lifeboats was in full compliance with the British marine regulations in force at time. The law required the ship to carry 16 lifeboats; the Titanic actually had 20 lifeboats. The ship’s owners did a good job of providing enough boats to address the regulatory risk of noncompliance. Unfortunately, meeting regulatory requirements did little to prevent the tragic loss of life. This is a case of misperception of risk.