お客様各位

いつもお世話になっております、マイクロフォーカスエンタープライズです。

今回は最近公開されたFortifyの導入事例を中心にご紹介します。

2023年に創業150年を迎えたコニカミノルタ株式会社（以下、コニカミノルタ）が、事業ポートフォリオの転換を伴う成長戦略を加速させています。
新たな成長を牽引するのは、強みを持つイメージング技術を基盤とした「計測・検査・診断」領域の革新的なソリューション。独自の画像技術とIoT/AI 技術を融合させた プラットフォーム「FORXAI（フォーサイ）」は、同社の戦略的新規事業を象徴するものです。新規事業の推進、既存事業の高付加価値化において、製品やサービスを支えるソフトウェアの重要性はいっそう高まっています。
コニカミノルタでは、多様なソフトウェア群の品質向上とセキュリティリスク低減のために、SAST ツールFortify Static Code Analyzerを採用し、DevSecOps の実現を見据え、ソフトウェア開発におけるソースコード脆弱性検査を効果的に実施しています。
全4ページの事例は、こちらからダウンロードできます。

その他、グローバルの導入事例も日本語版のリリースを近日中に予定しています。
公開後セキュリティブログでご案内しますが、事例サマリをご紹介します。

金融業界の企業は、すでに多数の規制要件に準拠することが求められていますが、EUでは、準拠すべき規制要件として、新たにデジタルオペレーショナルレジリエンス法(DORA)が施行されました。DORAの一環として、金融機関は新規サービスを導入(または既存サービスを再導入)する前に、脆弱性評価を実施することが義務付けられ、すべての重要アプリケーション/システムを年に1回以上テストする必要があります。このお客様はFortify導入で、コードの脆弱性を50%削減し、ベンダーとのコラボレーションを促進しながら、サイバーレジリエンスを強化して、DORAの施行に対応しました。（英語版はこちら）

国防省および連邦政府が、エンドユーザーが複雑な課題に対処し、進化する脅威に対抗する方法に革新をもたらすことを支援するこの企業では、機密性の高さからすべての開発はエアギャップ環境でアジャイル開発手法を活用して行っています。エアギャップ環境とは、安全ではないネットワークから物理的に隔離することでセキュリティが維持されている環境です。Fortifyは、エアギャップ環境を損なうことなく、ソフトウェア開発サイクルにアプリケーションセキュリティを導入することを可能にしました。（英語版はこちら）

Fortifyは、Gartner®アプリケーション・セキュリティ・テストのMagic Quadrant™で10年連続リーダーの１社に位置づけされていますが、 マジック・クアドラントを補完する2023 Gartner® Critical Capabilities for Application Security Testingにおいてもリーダーの1社に選出されています。
2023 Gartner® Critical Capabilities for Application Security Testingは、5つの一般的なユースケースにおける12の機能について、MQに選出されている12社のベンダーを対象にランク付けを行っています。（FortifyはOpenTextとして記載されています。）

なお、5つのユースケースとは、Enterprise、Cloud-Native Applications、DevSecOps、Mobile and Client、Software Supply Chain Securityです。

2022年から2023年のアプリケーションセキュリティにおける重要な機能（Critical Capabilities）が、どのように変化したかを見てみると、Software Supply Chain SecurityやApplication Security Posture Mgmt.が、新たに追加されGartner®が注目する分野となりました。

Software Supply Chain Securityは、ソフトウェア開発において、オープンソースコンポーネントに大きく依存するようになった現在、自社コードと同様にオープンソースコンポーネントを安全に管理するための仕組みとして重要性が増しています。
なお、サプライチェーン攻撃については、2023年4月度のセキュリティニュースで取り上げていますが、Fortifyはオープンソースコンポーネントに含まれる脆弱性やライセンス情報を解析する「ソフトウェアコンポジション解析」を含めたテストを自動化するアプリケーションセキュリティプラットフォームを提供します。

Application Security Posture Management（アプリケーションセキュリティ体制管理）は、組織のアプリケーションセキュリティ体制が成熟するとともに増加する、各種ツールからの出力結果を、分断された状態から単一の枠組みに集約して、関連性を判断し、より効果的な情報として可視化します。
Fortify Insightは、上述のApplication Security Posture Managementを容易に実現することが可能です。Fortify Insightの詳細は、今後のセキュリティニュースでご紹介したいと思います。