脆弱性について知ることは戦いの半分に過ぎません

継続的な IT への取り組みを続ける中で、セキュリティに重点が置かれています。 そして、そうあるべきです。 違反は多発しています。 脆弱性は毎日発見されており、パッチのギャップは小さくなる気配がありません。

より安全なコードのためによく提案される解決策の 1 つは、ソース コードをスキャンすることです。 静的および動的セキュリティ スキャンは、継続的デリバリー プロセスの主要な要素となっています。 これらは当社の内部パイプラインに含まれており、いつでもダッシュボードを覗いて、スキャンで何が見つかったかを確認できます。 

既知の脆弱性についてテストを行わず、何も行わないという問題は、ほとんどの場合、価値実現までの時間を短縮するというプレッシャーと結びついています。 開発者のほぼ半数 (48%) が、セキュリティに費やす時間が十分ではないと回答しています ( 2018 DevSecOps コミュニティ調査)。 他の調査でも一致しているが、開発者にはコードをより速く、より頻繁に作成するという途方もないプレッシャーがかかっている。 データパスでも配信パスでも、速度が制限されるとセキュリティが依然として「犠牲になるもの」であることが判明しました。

人々は、自分たちが評価されるものに向かって努力するということはよく知られています。 開発者も人間なので、彼らもそのルールに従う必要があります。 迅速に市場に参入することが評価されるなら、たとえセキュリティを危険にさらすステップを省略することになったとしても、それに向けて取り組むでしょう。 安全なアプリケーションを市場に提供するには、迅速に市場に投入することと同じくらい、安全に市場に投入することを評価および評価する文化的変化を受け入れる必要があります。

それが実現するまでは、脆弱性に対処するために赤色レーザーと青色レーザーに頼るのは、開発者に頼るのと同じくらい安全です。