ASOCやってますか？セキュリティで開発を遅らせないオーケストレーションと相関ツールの使い方

ASOCというのは“Application security orchestration and correlation”の略ですが、何のためのものかご存知でしょうか？ AppSec、DevSecOpsといった掛け声に合わせて、ASTツールを導入してみても、組織全体で効果的に使えるようになっていないこともあります。それは、セキュリティ・ゲートや品質ゲートが適切に設定されていないか、セキュリティポリシーに基づいた運用ができるようになっていないからです。 ASOCでは、ASTツールの統合だけではなく、ポリシーに基づいた効果的なゲートの設定や運用が可能なインフラを提供します。同時に、マニュアルで実施するペンテストやリスク分析や脅威モデリング、コードレビューの結果なども取り込むことが可能です。 本セッションでは、Orchestration ツールのIntelligent Orchestration、Correlation ツールのCode Dxと各種ASTツールとマニュアルテストとの統合方法について解説します。

Masato Matsuoka