セキュリティの
学び場

ＡＳＶＳとは

OWASP ASVSという言葉をご存じでしょうか？

世の中には、各業界内で用いられる「業界標準を定めた様々な規格・フレームワーク」が存在しています。政府などの公的機関が定めたもの、複数の企業が参画する業界団体により定められたもの、業界内に影響力のある特定の企業が推進するもの、そして、暗黙の了解で業界内で標準となっているもの（デファクトスタンダード）まで、その内容や種類は業界・分野ごとに数多くあります。このような基準や標準はIT業界にも当然ながら存在しています。それはセキュリティの分野も例外ではありません。

Webアプリケーションのセキュリティに関する基準で、特に広く知られているものが先述のOWASP ASVSです。OWASPとはOpen Web Application Security Projectの略称で、Webアプリケーションセキュリティの分野における各種ドキュメントやツール、技術などについて活発な議論が交わされているオープンなオンラインコミュニティです。そのOWASPが主導となって取り組み、WebアプリケーションおよびWebサービスを設計、開発、テストする際に必要となるセキュリティ要件、管理策の定義するフレームワークを確立したものがASVSです。

Ｗｅｂアプリケーションのセキュリティ分野における業界標準

ASVSはApplication Security Verification Standardの略称で、直訳すると「アプリケーションセキュリティ検証基準」となります。OWASPでは、ASVSの目標として以下の二点を掲げています。

つまり、Webアプリケーションを発注するオーナー、Webアプリケーションを作るベンダー、脆弱性を診断するベンダー、さらには利用者という異なる視点を持つ関係者における「Webアプリケーションを守るためのセキュリティ共通要件」を定めることで、Webアプリケーションセキュリティのあるべき姿の共通言語としての役割を果たすことを可能としています。

ASVSはオンラインコミュニティであるOWASPが定めたフレームワークであり、トレンドに沿った基準や要件の更新も活発に行われており、多言語化もされています。このような背景からも導入がしやすく、多くの企業、開発者がWebアプリケーションを開発する際のセキュリティ検証基準として採用している、いわばWebアプリケーション開発におけるセキュリティの業界内標準と言えます。

ＡＳＶＳの最適な使い方

ＡＳＶＳを用いたセキュリティ対策として、以下のような方法が挙げられます

１.セキュリティ基準としてＡＳＶＳを用いる

ASVSは国際的に活用されている基準であり、Webアプリケーションに必要な検証基準を広く網羅しています。ASVSをベースとして組織のユースケースに合わせたセキュリティ基準を定めることで、セキュアかつ実用的な基準を構築できます。さらに、この基準をベースとして設計・コーディング・リリース基準などを定めることで、リリース基準を満たすために実用的な設計規則やコーディング規則を定めることが可能になります。

２.セキュリティベンダーの選定基準としてＡＳＶＳを用いる

開発したWebアプリケーションには必ずセキュリティ検査が必要となります。この検査を自組織で行わない場合にはセキュリティベンダの選定が必要となりますが、この選定基準としてASVSを挙げることが考えられます。

これにより、以下のようなメリットが得られます。

・異なるプロジェクト間で診断基準を統一できる

・共通の診断基準によりベンダ間の診断揺れを軽減できる

・診断ベンダの力量を量る基準の一つとなる

多くのセキュリティベンダでは経済産業省が策定した「情報セキュリティサービス基準」に適合したWebアプリケーション脆弱性診断サービスを提供しますが、この際、ASVSなどの診断基準の明示が求められます。多くの診断ベンダが診断基準としてASVSを明示しているため、選定時の調査も容易となります。

３.ＡＳＶＳを用いて診断コストと品質を最適化する

脆弱性診断を行う際にはコストと品質を考慮する必要があります。例えば、「システム全体にホワイトハッカーによるアドホックなペンテスト（侵入テスト）を実施する」という場合、膨大なコストが発生する上に、アドホックであるが故に観点への網羅性が保証できません。これに対してASVSなどの基準を用いて「システム全体をOWASP Top10 で診断し、機微情報を含む箇所はASVSを、決済などのクリティカルな機能をペンテストで・・・」のように「診断の基準と網羅性」を適切に定める事で品質と診断コストを最適化することが可能になります。

ここで紹介したように組織独自の「オレオレ基準」ではなく、ASVSなどの第三者に広く認められた検証基準を用いることで、トレンドに即した最適化セキュリティのチェックが可能となります。