セキュアプログラミング

セキュリティ上の脆弱性が生じないようにソフトウェアを開発する手法。入力値の検証、エスケープ処理、適切なエラーハンドリング、最小権限の原則の適用など、セキュリティを考慮したコーディング技法を実践する。

ソフトウェアの設計・実装段階からセキュリティを考慮したプログラミング手法。入力値の検証、出力のエスケープ処理、適切なエラー処理、最小権限の原則などにより、脆弱性の作り込みを防止する。

脆弱性を作り込まないことを意識した実装手法。入力値の検証、出力時のエスケープ、プレースホルダの使用、エラー情報を過剰に返さないことなどを徹底し、設計・実装段階で脆弱性の発生を抑える。

脆弱性を作り込まないことを意図した実装手法。入力値の検証、出力時のエスケープ、安全な関数の利用などをコーディング標準として定め、レビューで遵守を確認する。

サーバやネットワークなどのインフラ構成をコード（定義ファイル）で管理する手法。バージョン管理、自動テスト、再現性のある環境構築が可能になる。セキュリティの観点では、設定ミスの防止、セキュリティポリシーのコードレビュー、構成のドリフト検知に有効。

システムに求められるセキュリティに関する要件。認証・認可の方式、データの暗号化、アクセス制御、ログ管理、脆弱性対策など、情報セキュリティを確保するために必要な機能や品質を定義する。

システムの企画・要件定義段階で、脅威分析の結果やセキュリティポリシーに基づき、必要なセキュリティ機能や非機能要件を明確化すること。認証・認可、暗号化、監査ログ、可用性などの要件を含む。

ソフトウェアに対して予期しない入力データ（ファズ）を大量に送り込み、異常動作やセキュリティ上の脆弱性を発見するテスト手法。自動化ツールを用いてランダムまたは半構造的なデータを生成し、クラッシュやメモリリークを検出する。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧とその依存関係を記録したリスト。サプライチェーンにおけるソフトウェアの脆弱性管理に活用され、脆弱性が発見された際の影響範囲の特定を迅速化する。

DevOps（開発と運用の連携）にセキュリティを統合した開発手法。開発ライフサイクルの全段階でセキュリティを自動化・組み込み、CI/CDパイプラインにSAST、DAST、SCAなどのセキュリティテストを統合して、迅速かつ安全なリリースを実現する。