IPAは基礎的誤りを明示し、正しい原則を開発者に啓蒙すべき

(Last Updated On: 2018年11月9日)セキュアコーディングの第1原則は「入力をバリデーションする」です。セキュアコーディングの第1原則はソフトウェアセキュリティの一丁目一番地と言えるセキュリティ対策です。 入力バリデーションを第一のセキュリティ対策としているガイドライン： CERT Top 10 Secure Coding Practices OWASP Secure Coding ‐ Quick Reference Guide CWE/SANS Top 25 Monster Mitigations IPA セキュアプログラミング講座（NEW 2017年～） セキュアプログラミング／セキュアコーディングを要求するセキュリティ認証： ISMS – 国際情報セキュリティ標準 ISO 27000 の認証規格 PCI DSS – クレジットカード情報を取り扱う場合の認証規格 9

[nabinno]

蛇足だがvalidationを検証とするとverificationとまざるので妥当性確認と言い換えたいところ。

[theatrical]

バリデーション不要となっていたのは中々ファンキーだな

[rizmhate]

現状はプログラマの任せになってる現場もありますね。。。

[yohgaki]

昨年IPAはセキュリティ原則、基礎の基礎を間違えていたガイドを更新しました。しかし、誤りがあったこと、を明示せずに資料を差し替えただけです。 IPAは公的機関としてその責務を果すべきでしょう。