Last Updated on 2024-07-03 05:23 by admin
2023年、サンフランシスコで開催されたRSAカンファレンスにて、60社以上のベンダーがCybersecurity and Infrastructure Security Agency (CISA)によって推進される「セキュア・バイ・デザイン」の誓約に署名した。この誓約は、セキュリティを製品設計段階および製品ライフサイクル全体を通じて考慮することを約束するものである。目的は、セキュリティの責任を個人や小規模事業者から製品を製造するメーカーに移すことにある。この自発的な誓約は、クラウドサービス、ソフトウェア・アズ・ア・サービス、オンプレミスソフトウェアを含む企業向けソフトウェア製品とサービスに焦点を当てている。
署名者は7つの主要な目標を考慮し、1年以内にそれらの目標に向けた進捗を示すよう求められる。進捗の示し方や目標への取り組み順序は各社に委ねられており、目標達成に短い場合のペナルティはない。目標には、製品における多要素認証の使用増加、デフォルトパスワードの使用減少、脆弱性クラス全体の減少、顧客によるパッチのインストール増加、脆弱性開示ポリシーの公開、一般的な脆弱性と露出（CVE）に関する透明性とタイムリーな情報提供の増加、製造者の製品に影響を与えるサイバーセキュリティ侵入の証拠収集能力の向上が含まれる。
CISAは昨年4月にセキュア・バイ・デザインの取り組みを開始し、ソフトウェアメーカーに対してセキュア・バイ・デザインの製品を出荷し、設計および開発プログラムを見直してセキュア・バイ・デザインの製品のみを顧客に出荷するよう緊急のステップを踏むよう促した。今年初め、CISAはソフトウェアメーカーが製品のセキュリティ詳細を提供できる自己申告フォームとリポジトリをリリースした。連邦機関はこの情報を参照して、購入するソフトウェアがセキュアな開発慣行を使用して作成されたことを確認できる。
Amazon Web Services, BlackBerry, Cisco, Crowdstrike, Fortinet, GitHub, Google, Hewlett Packard, IBM, Ivanti, Lenovo, Microsoft, Netgear, Okta, Palo Alto Networksが誓約に署名した。
【ニュース解説】
2023年、サンフランシスコで開催されたRSAカンファレンスにおいて、60社以上のテクノロジーベンダーが、Cybersecurity and Infrastructure Security Agency (CISA)によって推進される「セキュア・バイ・デザイン」の誓約に署名しました。この動きは、製品の設計段階からセキュリティを考慮し、製品ライフサイクル全体を通じてセキュリティを維持することを目指しています。この誓約は、セキュリティの責任を個人や小規模事業者から製品を製造するメーカーへと移すことを目的としています。
この自発的な誓約は、クラウドサービス、ソフトウェア・アズ・ア・サービス（SaaS）、オンプレミスソフトウェアなど、企業向けソフトウェア製品とサービスに焦点を当てています。署名した企業は、多要素認証の使用増加、デフォルトパスワードの使用減少、脆弱性クラスの減少、顧客によるパッチのインストール増加、脆弱性開示ポリシーの公開、一般的な脆弱性と露出（CVE）に関する透明性とタイムリーな情報提供の増加、製品に影響を与えるサイバーセキュリティ侵入の証拠収集能力の向上など、7つの主要な目標に向けた進捗を1年以内に示すことが求められます。
この取り組みの背景には、ソフトウェア製品におけるセキュリティの重要性が高まっている現状があります。セキュリティはもはや技術的な機能だけでなく、ビジネス要件の核となるべきであるという考え方が広がっています。セキュリティを製品設計の初期段階から組み込むことで、脆弱性を減らし、サイバー攻撃に対する耐性を高めることができます。
この誓約に署名した企業には、Amazon Web Services, BlackBerry, Cisco, Crowdstrike, Fortinet, GitHub, Google, Hewlett Packard, IBM, Ivanti, Lenovo, Microsoft, Netgear, Okta, Palo Alto Networksなどが含まれます。これらの企業がセキュリティを重視する姿勢を示すことで、業界全体のセキュリティ意識の向上が期待されます。
しかし、この取り組みにはいくつかの課題も存在します。例えば、自発的な誓約であるため、署名した企業が目標を達成しなかった場合のペナルティがないことや、すべての企業がこの誓約に参加しているわけではないため、業界全体のセキュリティ水準を均一に引き上げることが難しい点などが挙げられます。また、セキュリティ対策の進化に伴い、新たな脅威が常に出現するため、継続的な努力と更新が必要になります。
長期的には、このような取り組みがセキュリティの基準を高め、より安全なデジタル環境の構築に貢献することが期待されます。また、政府機関と民間企業が協力してセキュリティ問題に取り組むことの重要性が強調されており、今後もこのようなパートナーシップが拡大していくことが予想されます。
from Tech Companies Promise Secure by Design Products.
