業界の中で、自社の“対策レベル”を思い知る――セキュアなソフトウエア開発に「BSIMM」が必須な理由

BSIMMは、米Cigital（シジタル／2016年11月に米Synopsysが買収）が構築したフレームワークである。ソフトウェア開発プロセスを、セキュリティ構築の「成熟度モデル（Maturity Model）」を基に、実際のソフトウェア セキュリティ対策で実行されるアクティビティを定量化して評価する。BSIMMを指針としながら改善を継続することで、セキュアなソフトウェア開発が実施できるというわけだ。 BSIMMがユニークなのは、自社のソフトウェア セキュリティ対策を、同業他社と比較して評価できる点である。BSIMMの成熟度モデルの基となるのは、すでにBSIMMを利用している先行企業から収集したデータだ。4つのドメインと12のプラクティス（判断基準）に基づいて自社の行動をスコアリングすることで、先行企業と比較した開発プロセスのベンチマークが得られる。 BSIMMの成熟度モデルの基となる4つ