Loading article…
ソフトウェア保証（SwA）は、ソフトウェア製品の信頼性、安全性、セキュリティを保証するソフトウェア開発における重要なプロセスです。[1]要件分析、設計レビュー、コード検査、テスト、形式検証など、さまざまなアクティビティが含まれます。ソフトウェア保証の重要な要素の1つは、業界で認められた標準とベストプラクティスに従うセキュアコーディングプラクティスです。たとえば、ソフトウェアエンジニアリング協会（SEI）のCERTセキュアコーディング標準（SCS）で概説されているものなどです。[2]
ソフトウェア保証のもう一つの重要な側面はテストであり、ソフトウェア開発プロセスのさまざまな段階で実施する必要があり、機能テスト、パフォーマンステスト、セキュリティテストが含まれます。[3]テストは、ソフトウェア製品がリリースされる前に欠陥や脆弱性を特定するのに役立ちます。さらに、ソフトウェア保証には、リスク管理や品質管理などの組織的および管理的プラクティスが含まれており、ソフトウェア製品が利害関係者のニーズと期待を満たしていることを保証します。[4]
ソフトウェア保証は、ソフトウェアが脆弱性がなく、意図したとおりに機能し、ソフトウェア開発プロセスを管理するすべての要件と標準に準拠していることを保証することを目的としています。[3]さらに、ソフトウェア保証は、より安全なソフトウェア集約型システムを作成することも目的としています。これを実現するには、潜在的な脆弱性の予防的な動的および静的分析が必要であり、全体的なシステムレベルの理解が推奨されます。設計上の欠陥はセキュリティ問題の50％を占め、コードだけを見ても見つけることができないため、アーキテクチャリスク分析はあらゆるソフトウェアセキュリティプログラムで重要な役割を果たします。[5]
業界で認められた標準とベスト プラクティスに従い、テストと管理のプラクティスを組み込み、アーキテクチャ リスク分析を実施することで、ソフトウェア保証はシステム障害やセキュリティ侵害のリスクを最小限に抑えることができ、ソフトウェア開発の重要な側面となります。
取り組み
ソフトウェア保証イニシアチブは、ソフトウェア システムの品質、信頼性、セキュリティを確保するために設計されたプログラムとアクティビティです。ソフトウェアはビジネス オペレーションから重要なインフラストラクチャまで幅広いアプリケーションで使用され、ソフトウェアの欠陥や脆弱性は深刻な結果をもたらす可能性があるため、これらのイニシアチブは重要です。
ソフトウェア保証イニシアチブには、次のようないくつかの種類があります。
- 認証と認定: これらのプログラムは、ソフトウェア開発の標準とガイドラインを確立し、ソフトウェア製品がこれらの標準を満たしていることを確認します。認証と認定は、ソフトウェア製品の信頼性、安全性、規制や業界標準への準拠を保証するのに役立ちます。[6]
- トレーニングと教育: これらの取り組みは、ソフトウェア開発者に高品質で安全なソフトウェアを作成するために必要な知識とスキルを提供します。トレーニングと教育には、ソフトウェアテスト、安全なコーディングプラクティス、業界標準とベストプラクティスに関するコースが含まれます。[7]
- コード分析とテスト: これらの取り組みでは、ツールと技術を使用してソフトウェアコードを分析し、欠陥や脆弱性を特定します。コード分析とテストには、静的分析、動的分析、ファズテストなどの技術が含まれます。[8]
- 脅威モデリングとリスク評価：これらの取り組みは、ソフトウェアシステムに対する潜在的なリスクと脅威を評価し、これらのリスクを軽減するための戦略を特定します。脅威モデリングとリスク評価は、ソフトウェアシステムが攻撃やその他の脅威に対して耐性を持つように設計されていることを確認するのに役立ちます。[21]
ソフトウェア保証が重要なのはなぜですか?
今日のデジタル世界では、自動車、医療機器、金融システム、軍事機器など、さまざまなデバイスやシステムを制御するためにソフトウェアが使用されています。したがって、ソフトウェア製品の信頼性、安全性、セキュリティを確保することは非常に重要です。適切なテストと検証が行われないと、ソフトウェアに欠陥や脆弱性が含まれ、システム障害、セキュリティ侵害、個人、企業、社会全体に悪影響を及ぼすその他の深刻な問題が発生する可能性があります。[9]
米国国立標準技術研究所（NIST）は、ソフトウェア保証を「ソフトウェアに意図的に設計された脆弱性、またはライフサイクルの任意の時点で誤って挿入された脆弱性がソフトウェアに存在せず、ソフトウェアが意図したとおりに機能するという信頼のレベル」と定義しています[22]。組織は、ソフトウェア保証を確保することで、コストのかかるシステム障害、データ侵害、その他の悪影響のリスクを軽減できます。
ソフトウェアの欠陥や脆弱性に関連する潜在的なリスクに加えて、ソフトウェア保証に関連する法的および規制上の要件があります。これらの規制に従わない場合、法的および金銭的な罰則が科せられる可能性があります。たとえば、特定の業界向けのソフトウェアを開発する組織は、製品の安全性とセキュリティを確保することを要求する規制の対象となる場合があります。
国防、銀行、医療、通信、航空、危険物管理など、多くの重要な機能は、ソフトウェアの正確で予測可能な動作に依存しています。[10]これらの活動をサポートするソフトウェア集約型システムに障害が発生すると、深刻な混乱が生じる可能性があります。したがって、組織は、システム障害やセキュリティ侵害のリスクを軽減するために、ソフトウェアのテストと検証の技術とツールを実装することが不可欠です。
実行
ソフトウェア保証は、ソフトウェア製品の信頼性、安全性、セキュリティを確保することを目的とした一連の活動を通じて実行されます。これらの活動には、要件分析、設計レビュー、コード検査、テスト、形式検証が含まれます。[1]
- 要件分析には、ソフトウェア製品の機能要件と非機能要件の特定と定義が含まれます。これには、ソフトウェアの目的、対象ユーザー、および満たさなければならない関連標準や規制を理解することが含まれます。[11]
- 設計レビューでは、ソフトウェア設計を評価して、それが要件を満たし、実装可能であることを確認します。これには、ソフトウェアの信頼性、安全性、セキュリティに影響を与える可能性のある設計上の欠陥、エラー、または省略のチェックが含まれます。[24]
- コード検査では、コードが業界で認められた標準とベストプラクティスに準拠しているかどうかを確認するためにコードをレビューします。これには、コードの品質、可読性、保守性の確認、潜在的な脆弱性やセキュリティ上の問題の特定が含まれます。[2]
- テストでは、ソフトウェアを実行して、信頼性、安全性、セキュリティに影響を与える可能性のある欠陥や脆弱性を特定します。これには、機能テスト、パフォーマンステスト、セキュリティテストなど、さまざまなタイプのテストが含まれます。[3]
- 形式検証では、数学的または論理的手法を使用して、ソフトウェアが意図したとおりに動作し、欠陥や脆弱性が含まれていないことを証明します。これには、モデルチェック、定理証明、静的解析などの手法が含まれます。[1]
テクニック
ソフトウェアのテストと検証は、ソフトウェアコードの欠陥や脆弱性を特定して対処するために使用される技術です。テストと検証の技術には、機能テスト、パフォーマンステスト、セキュリティテストなど、いくつかの種類があります。[3]
- 機械学習はソフトウェアの問題を検出するためにソフトウェア保証でますます使用されています。機械学習は大量のデータを分析できるため、人間が気付かない可能性のあるパターンや異常を特定できます。機械学習を使用すると、最終的にはソフトウェアの品質とセキュリティを向上させることができます。[12]
- 機能テストは、ソフトウェアが意図した機能を実行することを確認するために使用されます。このタイプのテストでは、ソフトウェアを実行し、その機能と機能性をテストして、期待どおりに動作することを確認します。[4]
- パフォーマンステストは、ソフトウェアの速度、応答性、安定性を測定するために使用されます。このタイプのテストでは、実際のシナリオをシミュレートして、ソフトウェアが負荷を処理し、さまざまな条件下で適切に機能することを確認します。[4]
- セキュリティテストは、攻撃者が悪用する可能性のあるソフトウェアの脆弱性や弱点を特定するために使用されます。このタイプのテストでは、侵入テストや脆弱性スキャンなど、さまざまな手法を使用してソフトウェアのセキュリティを侵害しようとします。[3]
- テストに加えて、ソフトウェアコードが正しく、欠陥がないことを確認するために検証技術が使用されます。これには、コードレビュー、形式検証、静的解析などの技術が含まれます。[1]
- コードレビューでは、コードが業界で認められた標準とベストプラクティスに準拠しているかどうかを確認します。これには、コードの品質、可読性、保守性のチェック、潜在的な脆弱性やセキュリティ上の問題の特定が含まれます。[2]
- 形式検証では、数学的または論理的手法を使用して、ソフトウェアが意図したとおりに動作し、欠陥や脆弱性が含まれていないことを証明します。これには、モデルチェック、定理証明、静的解析などの手法が含まれます。[1]
- 静的解析では、ソフトウェアコードを実行せずに解析し、潜在的な欠陥や脆弱性を特定します。これには、コード解析ツールやコード検査などの手法が含まれます。[2]
ツール
ソフトウェア テストおよび検証ツールは、ソフトウェア コードの欠陥や脆弱性を特定して対処するために使用されます。テストおよび検証ツールには、次のようないくつかの種類があります。
- 人工知能（AI）は、ソフトウェアコードの欠陥や脆弱性を特定して対処するために、ソフトウェア保証でますます使用されています。機械学習や自然言語処理などのAI技術を使用して、テストと検証のプロセスを自動化し、より迅速かつ効率的にすることができます。[13]
- 静的解析ツール：これらのツールは、ソフトウェアアプリケーションのソースコードを実行せずに解析し、潜在的な欠陥や脆弱性を特定します。静的解析ツールは、コードの品質、セキュリティ、コーディング標準への準拠に関連する問題を検出するために使用できます。[14]
- 動的解析ツール：これらのツールは、ソフトウェアアプリケーションの実行中の動作を分析し、ソースコードでは明らかにならない欠陥や脆弱性を特定します。動的解析ツールは、パフォーマンス、メモリ使用量、セキュリティに関連する問題を検出するために使用できます。[25]
- ファズテストツール：これらのツールはソフトウェアアプリケーションにランダムな入力を生成し、予期しないデータや不正なデータに対する耐性をテストします。ファズテストツールは、入力検証、メモリ管理、セキュリティに関連する問題を検出するために使用できます。[25]
- 侵入テストツール：これらのツールは、ソフトウェアアプリケーションへの攻撃をシミュレートし、攻撃者が悪用する可能性のある脆弱性を特定します。侵入テストツールは、SQLインジェクション、クロスサイトスクリプティング、バッファオーバーフローなどのセキュリティ関連の問題を検出するために使用できます。[15]
- テスト管理ツール：これらのツールは、テストケースの作成、実行、レポート作成など、ソフトウェアテストプロセスを管理するために使用されます。テスト管理ツールは、必要なすべてのテストが実施され、欠陥が追跡され解決されることを保証するのに役立ちます。[24]
代替定義
米国国土安全保障省（DHS）
DHSによれば、ソフトウェア保証は次の事項を対象としています。
- 信頼性 - 悪意を持って、または意図せずに挿入された、悪用可能な脆弱性は存在しません。
- 予測可能な実行 - ソフトウェアが実行されたときに意図したとおりに機能するという正当な確信。
- 適合性 - ソフトウェア プロセスと製品が要件、標準/手順に準拠していることを保証する、計画的かつ体系的な一連の多分野にわたるアクティビティ。
知識体系とコアコンピテンシーとして明確に表現されたSwA分野に貢献する：ソフトウェア工学、システム工学、情報システムセキュリティ工学、情報保証、テストと評価、安全性、セキュリティ、プロジェクト管理、ソフトウェア取得。[16]
ソフトウェア保証は、ソフトウェアの整合性、セキュリティ、信頼性を促進するための米国国土安全保障省 (DHS) の戦略的取り組みです。SwA プログラムは、サイバースペースの安全を確保するための国家戦略 - アクション/推奨事項 2-14 に基づいています。
「国土安全保障省は、ソフトウェアコード開発における完全性、セキュリティ、信頼性を促進するベストプラクティスと方法論を普及させるための国家官民の取り組みを促進します。これには、開発中に導入される可能性のある誤ったコード、悪意のあるコード、または落とし穴の可能性を減らすプロセスと手順が含まれます。」[17]潜在的なセキュリティの脆弱性を特定するのに役立つソフトウェア保証用のオープンソースソフトウェアツールがあります。[18]
米国国防総省（DoD）
DoDにとって、SwA は「ソフトウェアが意図したとおりにのみ機能し、ライフサイクル全体を通じてソフトウェアの一部として意図的または意図せずに設計または挿入された脆弱性がないという信頼のレベル」と定義されています。[19] DoD は、ソフトウェア エンジニアリング研究所 (SEI) と軍事サービスおよび NSA 内の専門家の実務家が主導して JFAC が資金提供した最近の 2 つの出版物で実証されているように、SwA を健全なシステム エンジニアリング プラクティスとして開発しています。プログラム マネージャーの SwA ガイドブックでは、SwA を計画、リソース割り当て、および管理する方法を示し、開発者の SwA ガイドブックでは、ライフサイクル全体を通じて調整可能な技術的プラクティスを推奨しています。[20]これらのドキュメントは両方とも初めてのものであり、授与されています。[21] DoD で SwA 機能を構築している 2 つのエンタープライズ規模の組織は、Joint Federated Assurance Center (JFAC) [22]と、四半期ごとの合議フォーラムとして 32 回連続で開催されている DoD SwA コミュニティ オブ プラクティスです。どちらも米国政府の他の部門にも公開されています。JFAC 憲章は、その Web サイトで入手できます。市販されている SwA ツール ファミリの状況認識を広めるために、JFAC は防衛分析研究所 (IDA) に資金を提供し、最先端リソース (SOAR) を作成しました。[23]ライフサイクル全体にわたる SwA の「エンジニアリング イン」における最近のイノベーションは、選択された NIST 800-53 コントロールをエンジニアリング タスクに結合し、エンジニアリングの結果がリスク管理フレームワーク (RMF) を定義し、運用権限 (ATO) を駆動することです。データ項目記述 (DID)、機械可読の脆弱性レポート形式、およびテクニックの簡単な概要アプリケーションを含むパッケージは、JFAC Web サイトで入手できます。他の破壊的イノベーションも進行中です。
ソフトウェア保証メトリクスとツール評価 (SAMATE) プロジェクト
NIST SAMATEプロジェクト[24]によれば、ソフトウェア保証とは「ソフトウェアプロセスと製品が要件、標準、および手順に準拠していることを保証する、計画的かつ体系的な一連の活動であり、次の達成に役立ちます。
- 信頼性 - 悪意のある、または意図しない原因による、悪用可能な脆弱性が存在しない。
- 予測可能な実行 - ソフトウェアが実行されたときに意図したとおりに機能するという正当な確信。
アメリカ航空宇宙局（NASA）
NASAによると、ソフトウェア保証とは「ソフトウェアプロセスと製品が要件、標準、および手順に準拠していることを保証する計画的かつ体系的な一連の活動」です。これには、品質保証、品質エンジニアリング、検証と妥当性確認、不適合報告と是正措置、安全性保証、セキュリティ保証の分野と、ソフトウェアライフサイクル中のそれらの適用が含まれます。」NASAソフトウェア保証標準では、「ソフトウェア開発ライフサイクル中にこれらの分野を適用することをソフトウェア保証と呼びます。」とも述べています。[25]
オブジェクト管理グループ (OMG)
OMGによれば、ソフトウェア保証とは「確立されたビジネス目標とセキュリティ目標を満たす正当な信頼性」である。[26]
OMGのSwA特別利益グループ（SIG）[27]は、プラットフォームおよびドメインタスクフォース、およびOMG外部のその他のソフトウェア業界の組織やグループと協力して、ソフトウェアの信頼性に関連する分析と情報交換のための共通フレームワークの確立を調整し、ソフトウェア保証フレームワーク[28]の仕様の開発を促進します。
- ソフトウェアのあらゆるクラスを表現するために使用できるソフトウェア プロパティの共通フレームワークを確立し、ソフトウェア サプライヤと買収者が、自動化ツール (規模に対応するため) を使用して、それぞれの主張と議論を対応する証拠とともに表現できるようにします。
- 製品がこれらの特性を十分に満たしていることを製品購入前に検証し、システムエンジニア/インテグレータがこれらの製品を使用して、より大規模な保証されたシステムを構築（構成）できるようにします。
- 業界がソフトウェア開発中にソフトウェア保証の現状を可視化できるようにする
- 業界が共通フレームワークをサポートする自動化ツールを開発できるようにします。
優れたコードのためのソフトウェア保証フォーラム (SAFECode)
SAFECodeによれば、ソフトウェア保証とは「ソフトウェア、ハードウェア、サービスに意図的または意図しない脆弱性がなく、ソフトウェアが意図したとおりに機能するという確信」です。[29]
参照
参考文献
- ^ Stavrou, A., Bos, H., Portokalidis, G., & van der Meyden, R. (2017).ソフトウェア保証：ロードマップ. 60(1), 71-79: Communications of the ACM.
{{cite book}}: CS1 maint: 場所 (リンク) CS1 maint: 複数の名前: 著者リスト (リンク) - ^ SEI (nd). CERT セキュアコーディング標準。ソフトウェアエンジニアリング協会。
- ^ ISO (2015). ISO/IEC/IEEE 12207:2015 - システム及びソフトウェアエンジニアリング - ソフトウェアライフサイクルプロセス。ISO。
- ^ IEEE (2019). IEEE 730-2019 - ソフトウェア品質保証プロセスのIEEE標準。IEEE。
- ^ McGraw, Gary (2006).ソフトウェアセキュリティ: セキュリティの構築. Addison-Wesley. p. 75. ISBN 0-321-35670-5。
- ^ 「ソフトウェア保証: それは何であり、なぜ必要なのか?」(PDF)。国土安全保障省。
- ^ 脅威モデル化。Microsoft。
- ^ 「NICE サイバーセキュリティ人材フレームワーク」。NIST 。米国国立標準技術研究所。2019 年 11 月 13 日。
- ^ 「ソフトウェア保証」。米国国立標準技術研究所 (NIST)。
- ^ 「ソフトウェア保証」。ソフトウェアエンジニアリング協会 (SEI)。
- ^ IEEE (2018). IEEE 1012-2016 - システムおよびソフトウェアの検証と妥当性確認のためのIEEE標準。IEEE。
- ^ H. Guissouma、A. Lauber、A. Mkadem、E. Sax (2019)。「バリアントリッチな自動車システムのソフトウェアアップデートを効率的に検証するための仮想テスト環境」。2019 IEEE 国際システム会議 (Sys Con )。IEEE。pp. 1– 8。doi : 10.1109 / SYSCON.2019.8836898。ISBN 978-1-5386-8396-5. S2CID 199015634。
{{cite book}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ J. Gao、C. Tao、D. Jie ĺ、S. Luĺ (2019) 。AI ソフトウェア テストとは何か? そしてその理由は? 2019 IEEE 国際サービス指向システム エンジニアリング会議 (SOSE)。
{{cite book}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ Gligoric, M., Lopes, CV, & Pasareanu, CS 「現実世界におけるソフトウェアのテストと分析」 Communications of the ACM. p. 58(4), 66-75.
{{cite book}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ Kim, J., Kantarcioglu, M., & Thuraisingham, B. (2016).ビッグデータにおけるセキュリティとプライバシーの課題. ビッグデータジャーナル. p. 3(1), 1-14.
{{cite book}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ Build Security In Home (2011 年 12 月 2 日)。「DHS Build Security In ウェブ ポータル」。Buildsecurityin.us-cert.gov。2006 年 5 月 17 日時点のオリジナルよりアーカイブ。2013年5 月 8 日閲覧。
- ^ Build Security In Home (2011 年 12 月 2 日)。「Build Security In Home」。Buildsecurityin.us-cert.gov。2006 年 5 月 17 日時点のオリジナルよりアーカイブ。2013年5 月 8 日閲覧。
- ^ 「オープンソース（ソフトウェア）保証ツール」。2014年9月11日時点のオリジナルよりアーカイブ。
- ^ 公法112–239—2013年1月2日、2013年度国防権限法、第933条。
- ^ https://resources.sei.cmu.edu/library/asset-view.cfm?assetid=538756 および https://resources.sei.cmu.edu/library/asset-view.cfm?assetid=538771
- ^ および https://www.isc2.org/News-and-Events/Press-Room/Posts/2019/06/17/ISC2-Announces-2019-Information-Security-Leadership-Awards-Government-Winners
- ^ 公法 113–66—2013 年 12 月 26 日、2014 年度国防権限法、第 937 条
- ^ 「最先端のリソース」IDA . 2023年9月27日閲覧。
- ^ 「メインページ - SAMATEプロジェクト」Samate.nist.gov 。 2013年5月8日閲覧。
- ^ NASA-STD-2201-93 2006年7月2日アーカイブ、Wayback Machine「ソフトウェア保証標準」、1992年11月10日
- ^ OMG ソフトウェア アシュアランス (SwA) 特別利益グループ (SIG) http://adm.omg.org/SoftwareAssurance.pdf 2011 年 9 月 29 日にアーカイブ、Wayback Machineおよび http://swa.omg.org/docs/softwareassurance.v3.pdf 2006 年 10 月 12 日にアーカイブ、Wayback Machine
- ^ “Omg Swa Sig”. Swa.omg.org. 2010年2月26日. 2020年12月3日時点のオリジナルよりアーカイブ。2013年5月8日閲覧。
- ^ CISQ準拠ITシステム omg.org [リンク切れ ]
- ^ 「ソフトウェア アシュアランス: 現在の業界のベスト プラクティスの概要」(PDF)。2013 年 5 月 13 日時点のオリジナル(PDF)からアーカイブ。2013年5 月 8 日に取得。
外部リンク
- DHS「セキュリティ構築」情報リソース
- DHS SwA コミュニティ オブ プラクティス ポータル
- NIST ソフトウェア保証メトリクスおよびツール評価 (SAMATE) プロジェクト
- オブジェクト管理グループ SwA SIG 2020年12月3日アーカイブ、Wayback Machine
- 優れたコードのためのソフトウェア保証フォーラム (SAFECode)
- NASA ソフトウェア保証ガイドブックおよび標準 (IEEE 610.12 IEEE 標準ソフトウェア エンジニアリング用語集の品質保証を参照)。
- ソフトウェア セキュリティ保証の最新レポート (SOAR)