サイバー攻撃への抗体獲得法 〜レジリエンスとDevSecOpsによるDX時代のサバイバルガイド 要点メモ【韮原祐介著】

セキュリティはやぶられるという前提に立つ

ゼロデイ攻撃は、まだ見つかっていないOSの脆弱性をついた攻撃なので、世界レベルのホワイトハッカーでも防げない。だから、ゼロトラスト = セキュリティはやぶられるものという前提に立った考え方が必要。

ソフトウェア開発のサイクルの中にセキュリティ対策を組み込んだものがDevSecOps

DevOpsではCI/CDにソフトウェアの自動テストが組み込まれているが、DevSecOpsはセキュリティのテストも組み込む。

セキュリティテストにはSAST、DASTやハッキングAIメイヘムやファジングといった技術がある。

OSやミドルウェアのバージョンアップ・セキュリティパッチを当てる作業もシステム運用の中に組み込むことが必要。