Unlocking Citizen Development: Security, Governance and Integration with IT の翻訳版です。
市民開発の解放: セキュリティ、ガバナンス、IT との統合
2024年8月20日
著者: HCL Volt MX Team
市民開発への関心が急増しており、急速に主流の採用に近づいています。多くの組織が実験を行っていますが、大規模に実装している組織はほとんどありません。このブログでは、適切なプラットフォームの選択、ガバナンスプラクティス、市民開発への IT 統合により、ビジネスにとってより効果的なものにする方法について詳しく説明します。
マッキンゼーの調査によると、市民開発者に権限を与えている組織は、権限を与えていない組織と比較して、イノベーションのスコアが 33% 高くなっています。適切なプラットフォームと適切なプラクティスを標準化することで、組織は、従来のスプレッドシートやメールのやり取りによって発生するエラーが発生しやすく非効率的なプロセスの多くを、市民が開発した新しいビジネス プロセス アプリに置き換えることで、イノベーションと効率性の向上など、大きな成果を上げられます。
市民開発者には、プラットフォームがサポートする範囲内で、社内ポリシーに準拠しながら、好きなものを作成できる環境を提供する必要があります。これは、対象ユーザーの範囲、アプリケーションの複雑さ、データの種類、処理量に対する制限を含めることができる調整可能なパラメータを実装することで実現できます。たとえば、プラットフォームをイントラネット専用に設定し、データ サイズに制限を設定し、機密性の高いデータを含むアプリの構築を禁止する社内ポリシーを設定できます。
市民開発は、セルフサービスとコラボレーションという 2 つの主要なゾーンに分けられます。前者では、IT 部門がプラットフォームを所有し、セキュリティ、スケーラビリティ、コンプライアンスのために最初に構成する必要があります。その後、従業員は独自にアプリを構築できます。ここでは、市民開発者は、許容される使用ポリシーに従い、IT チームにアプリの最新情報を提供する責任を負う必要があります。一方、IT 部門は、アプリケーションが引き続き関連性があり安全であることを確認するために、定期的にアプリケーションをレビューする必要があります。これらのやり取りのタイミングも非常に重要です。構築前にアプリをレビューすると、処理が遅くなる可能性があり、展開直後にチェックインするのは早すぎる可能性があります。したがって、数週間待つことが最善の策であると考えられています。導入されたアプリ、所有権、サポート連絡先、アプリの予想寿命、予想される使用状況、データ量、アプリの機能を追跡するなど、IT による強力なガバナンスプロセスは、不要で安全でないアプリの拡散を防ぐために不可欠です。
2 番目のゾーンでは、シチズンデベロッパーとプロのデベロッパーが協力して作業を行います。IT は技術的な専門知識を活かしてセキュリティ、コンプライアンス、スケーラビリティ、可用性、保守性を担当し、シチズンデベロッパーはアプリのビジネス目的に重点を置きます。Gartner の調査によると、このような融合チームを効果的に導入している組織は、集中管理されたチームに依存している組織よりも 2.5 倍速くデジタル ビジネス変革を達成しています。
シチズンデベロッパーが作成したアプリをプロのデベロッパーが拡張および強化できるプラットフォームが不可欠です。多くの場合、シチズンデベロッパーは、IT 主導の大規模なイニシアチブに携わったり、統合プラットフォームがさまざまなスキル セットを活用できるコンセプトを証明するためのプロトタイプを作成したりしています。これにより、アプリを大規模に拡張してアプリを完全に書き直す必要がなくなり、効率が向上し、最終的なソリューションが強化されます。
カスタマイズにより、市民開発者がビルディング ブロックからアプリを構成できるようになり、外観、動作、セキュリティ プロファイルの標準化が可能になるため、価値実現までの時間が短縮されます。IT 部門は、市民開発者を基本的な「すぐに使える」機能を超えて構成可能なビジネス モデルを実現できるように導く上で重要な役割を果たします。デフォルトのウィジェットは、デザインシステムや要件と必ずしも一致しない場合があります。そのため、組織がコンポーネントを製品のパレットに追加して、製品の一部であるかのように見せたり動作させたりできる機能が不可欠です。同様に、ベンダー提供のテンプレートは優れていますが、組織のニーズを完全に満たすためにはカスタマイズも必要です。CRM やマーケティング ツールなどのシステムで構成されたカスタム テンプレートは、マーケティングや営業などのチームが運用ニーズに合わせて特別に調整されたテンプレートを使用できるようになり、効率性を高め、標準化のレベルを高められます。
市民開発は、従業員がワークフローを自動化および合理化できるようにすることで組織の機能を変え、イノベーションと効率性を高めています。しかし、それが成功するには、カスタマイズとスケーラビリティのためのプラットフォームにおける IT 統合の強力な基盤と、セキュリティとコンプライアンスを保証する堅牢なガバナンスが必要です。
ローコード/ノーコードのツールとプラットフォームによって市民開発がどのように変革されているかに興味がありますか?
Harvard Business Review Analytic Services の無料オンデマンドウェビナーにご参加ください。HBR-AS の Alex Clemente 氏と HCLSoftware の Andrew Manby 氏が、ローコード/ノーコード開発ツールの魅力的な世界と、それが市民開発に与える影響についてご案内します。
Streamlining Security: Integrating HCL AppScan with Maven and Gradle の翻訳版です。
Maven、GradleとAppScanを統合:効率的なセキュリティ
2024年8月20日
著者: Parimal Sureshagarkhed / Lead Software Engineering
ソフトウェア開発のペースが速い世界では、常に先頭に立つということは、新たな課題に対応するために常に進化し続けることを意味します。そのため、HCL AppScan は、開発プロセスを強化し、セキュリティ体制を強化するために設計された 2 つの新しいプラグインを導入できることを嬉しく思っています。これらのプラグインは、既存のワークフローにシームレスに統合され、セキュリティを最優先にしながら、チームがより効率的に作業できるようにします。
HCL AppScan Maven および Gradle プラグインは、開発者が日常的に使用するツールと統合するように調整されており、ワークフローに完全に一致するシームレスなセキュリティスキャンを提供します。Maven を使用して Java アプリケーションを構築する場合でも、Gradle を使用して複雑なプロジェクト依存関係を管理する場合でも、これらのプラグインにより、セキュリティが開発パイプラインの不可欠な部分になります。
両方のプラグインは、HCL AppScan on Cloud および HCL AppScan 360° で利用でき、アプリケーションのセキュリティを大幅に強化できる豊富なリリースを備えています。
HCL AppScan Maven プラグインは、Maven ベースのプロジェクトとスムーズに統合できるように作成されており、開発者はセキュリティテストをビルドプロセスに簡単に組み込めます。Java エコシステムで広く使用されているビルド自動化ツールである Maven は、標準ビルドライフサイクルにセキュリティチェックを組み込むことで、この統合のメリットを享受しています。
シームレスな統合: プラグインは最小限の構成で Maven プロジェクトに簡単に組み込むことができ、セットアップと使用のプロセスが簡素化されます。
自動スキャン: ビルドプロセス中にコードの脆弱性を自動的にスキャンし、潜在的な問題に関するフィードバックを即座に提供します。
カスタマイズ可能: スキャンパラメータは、プロジェクトの特定のニーズに合わせて調整できます。
プラグインを追加すると、通常どおり Maven ビルドを実行できます。 AppScan プラグインは、セキュリティスキャンを自動的に実行し、AppScan on Cloud (または AppScan 360?) でレポートを生成します。
HCL AppScan Gradle プラグインは、ビルド自動化ツールとして Gradle を使用するプロジェクトに同等の機能を提供します。柔軟性に定評のある Gradle は、現代のソフトウェア開発で広く採用されています。HCL AppScan を Gradle と統合することで、セキュリティがビルドプロセスの不可欠な要素になります。
シームレスな統合: Gradle ビルド スクリプトと簡単に統合できるため、セキュリティテストが開発ワークフローの自然な一部になります。
自動セキュリティチェック: ビルドプロセス中にコードベースを自動的にスキャンして脆弱性を検出し、タイムリーなフィードバックを提供します。
構成可能: プロジェクトの要件に合わせて構成可能なスキャン オプションを提供します。
この構成では、AppScan プラグインはプロジェクトのビルド タスクの後に実行され、ビルドプロセスの一環としてコードの脆弱性がスキャンされます。
AI による時間の節約: これらのプラグインを使用すると、誤検知を減らす Intelligent Finding Analytics (IFA) やスキャン範囲を自動的に拡大する Intelligent Code Analytics (ICA) など、HCL AppScan の実証済みの AI/機械学習機能を活用できます。
実用的な洞察: HCL AppScan は、スキャンの問題と報告された問題に対する修復ガイダンスを含む包括的で詳細なセキュリティテストレポートを提供します。html、pdf、xml、csv などのさまざまなレポート形式を生成できます (サンプルレポートはこちら)。
早期検出: セキュリティテストをビルドプロセスに統合することで、脆弱性を早期に検出し、修正に必要なコストと労力を削減できます。
継続的なセキュリティ: セキュリティ チェックが一貫して実行されるようにすることで、脆弱性が抜け落ちにくくなります。
コード品質の向上: 定期的なセキュリティスキャンにより、開発者が潜在的なセキュリティ問題に気付くようになるため、コード品質が向上します。
コンプライアンス: コードベースが定期的にスキャンされ、保護されるようにすることで、コンプライアンス要件を満たすのに役立ちます。
CI/CD パイプラインにセキュリティテストを統合することは、アプリケーションのセキュリティと整合性を維持するために不可欠です。HCL AppScan Maven プラグインと HCL AppScan Gradle プラグインは、セキュリティ チェックを自動化し、コードが最初から安全であることを保証する強力なツールを提供します。これらのプラグインをビルドプロセスに組み込むことで、アプリケーションのセキュリティ体制を強化し、自信を持ってソフトウェアをリリースできます。
この統合は、Visual Studio、Jenkins、GitHub、GitLab など、需要の高いツールとのマーケットプレイスベースのコラボレーションの広範なリストの一部です (完全なリストはこちらをご覧ください)。
HCL AppScan アプリケーションセキュリティテストソリューションの詳細については、こちらをご覧ください。
HCL AppScan on Cloud または AppScan 360 の顧客ではありませんか? 上記のビルド プラグインで使用する Application Security on Cloud の無料トライアルについては、こちらをクリックしてください。または、今すぐ HCL AppScan 360° の旅を始めるには、HCLSoftware にお問い合わせください。
DAST for Developers: Enhanced Application Security from HCL AppScan の翻訳版です。
*開発者のためのDAST:HCL AppScanがアプリケーションセキュリティを強化
2024年8月20日
著者: Adam Cave / Product Marketing Manager, HCL AppScan
今日のペースの速い開発環境では、開発者はソフトウェア セキュリティに対する責任をさらに負うことが求められています。誤った構文、マージ エラー、統合の問題を特定するのに役立つツールが多数あるにもかかわらず、開発者は自分が書いたコードに脆弱性を持ち込んでいるかどうかに気付いていないことがよくあります。これがセキュリティチームに届くとボトルネックになる可能性があるため、組織は開発ライフサイクルのかなり早い段階で開発者にセキュリティ ツールを強化することで時間とリソースを節約しています。
静的アプリケーションセキュリティテスト (SAST) は、従来、開発者が書いたコードをテストするための最も重要なツールでした。動的アプリケーションセキュリティテスト (DAST) は、セキュリティチームによってサイクルの後半で使用されてきました。しかし、開発者にとっても使いやすい DAST ツールの需要が高まっており、開発プロセスの一環としてより安全なコードを作成するチェックとバランスのシステムを開発者に提供します。
開発者向け DAST と呼んでも、開発者中心の DAST と呼んでも、HCL AppScan には、HCL AppScan on Cloud (ASoC)、HCL AppScan 360° (AS360)、HCL AppScan Standard (ASD)、または HCL AppScan Enterprise (ASE) をサイクルの早い段階で使用しているかどうかに関係なく、開発者が DAST スキャン、修復、検証をワークフローにシームレスに統合するために必要なツールがあります。
使い慣れたツールとの統合: Jenkins、Azure DevOps、GitHub、欠陥追跡システム統合のプラグイン、またはコミュニティ プラグインを活用して、既存の CI/CD パイプライン内で直接スキャンを開始します。(ASoC、AS360、ASE)。
プロモーション前の個人スキャン: 変更をプロモーションする前にコードをクイックスキャンし、脆弱性を早期に検出してメインブランチに侵入するのを防ぎます (ASoC、AS360)。
AppScan CMD/ソフトウェア開発キット (SDK): AppScan CMD/SDK を使用すると、独自の統合を構築して、コードに導入された変更のみに焦点を当てた、ユニット テストに似た超高速テストを開発者 IDE 内で実行できます。
初心者向けのシンプルなスキャン: AppScan は、基本的なスキャン用に事前構成されたワークフローを提供します。これは、DAST を初めて使用する開発者に最適です。すぐに開始して、一般的な脆弱性を特定します。
高度な構成が必要なスキャン: 複雑なセキュリティテストの場合、AppScan は、AppSec 専門家の専門知識に対応する詳細な構成オプションを提供します。
セキュリティ タスクの自動化: API、SDK、CLI、Webhook との DAST 統合により、反復的なセキュリティ タスクを自動化して、貴重な開発時間を節約できます。
増分スキャン: 増分スキャンを使用して、コードベースで変更された部分のみに DAST スキャンを集中させます。これにより、徹底したセキュリティテストを維持しながら、時間とリソースを節約できます。
記録されたトラフィックによるターゲット スキャン: AppScan トラフィック レコーダーまたはアクティビティ レコーダーを使用して、特定のユーザーインタラクションまたはアプリケーションアクティビティをキャプチャします。これにより、コードが変更された領域のみをターゲットとする集中的な DAST スキャンを作成できるため、より迅速に結果が得られます。
テストの最適化とポリシー: テストの最適化機能と定義済みのセキュリティポリシーを使用して、DAST スキャンをカスタマイズします。これにより、特定のアプリケーションに最も関連性の高いセキュリティ チェックに焦点を絞ることができます。
除外と例外: 除外機能と例外機能を使用して、コードベースの無関係な領域をスキャンから除外します。これにより、スキャンが効率化され、ノイズが削減されます。
スキャンの深さの制御: スキャンの深さを定義して、包括性と速度の適切なバランスを実現します。
リアルタイムの洞察のための IAST エージェント: Interactive Application Security Testing (IAST) エージェントは、IDE とプロアクティブに統合され、コーディング/テスト時に脆弱性を正確に特定します。問題をすぐに修正し、後で大きな問題になるのを防ぎます。詳細はこちらをご覧ください。
コールスタックの可視性: IAST エージェントは DAST の問題のコールスタックを提供するため、コードベース内の脆弱性の正確な場所を特定して、より迅速に修復できます。
修復が簡単: HCL AppScan は、脆弱性を特定するだけではありません。詳細な説明、優先順位付け、自動クローズ検証を提供し、修復を効率化します。さらに、ASoC のロードマップには、GenAI を利用した魅力的な自動修正推奨事項が含まれています。
脆弱性コンポーネントの検出: HCL AppScan は、アプリケーションで使用されるサードパーティコンポーネント内の脆弱性を特定することで、従来の DAST を超えています。これにより、アプリケーションのセキュリティ体制 (ASE、ASD) をより包括的に把握できます。
豊富なコンプライアンスとレポート: 業界標準とコンプライアンス要件に準拠した詳細なレポートを生成します。これにより、セキュリティ監査が簡素化され、安全なコーディングプラクティスへの取り組みが実証されます。
アプリケーションセキュリティ戦略が「シフトレフト」であっても「シフトエニウェア」であっても、開発者はますます多くの責任を負うことになり、実用的な調査結果を提供して効率を最大化する使いやすいツールが必要になります。HCL AppScan は、セキュリティを重視する開発者に最高のソリューションを提供することに注力しています。複数の製品とプラットフォームに搭載されているHCLSoftware の DAST ソリューションにより、開発者はアプリケーションセキュリティで積極的な役割を果たせます。合理化された統合、実用的な洞察、自動化機能を備えたHCLSoftwareのツールは、セキュリティのボトルネックを回避し、開発コストを削減し、自信を持ってソフトウェアをリリースするのに役立ちます。
HCL AppScan DAST のパワーを体験する準備はできましたか? 今すぐ無料トライアルをダウンロードしてください!
AI-driven, Human-verified: Application Security Autofix from HCL AppScan の翻訳版です。
AIが推進し、人間が検証する: HCL AppScanの脆弱性自動修正機能
2024年8月20日
著者: Adam Cave / Product Marketing Manager, HCL AppScan
HCL AppScan は、HCLSoftware の主力 SaaS プラットフォームである HCL AppScan on Cloud (ASoC) に統合された GenAI で強化された自動修正機能のリリースにより、開発者に高速なセキュアコーディング支援を提供します。セキュリティ専門家と開発者は、脆弱性の検出だけでなく、高速で効率的かつ信頼できるように設計された修復ソリューションを使用して修正に必要な支援を受けられます。
HCLSoftwareの修復支援の中心となるのは、29 のプログラミング言語のソースコードで静的アプリケーションセキュリティテスト (SAST) スキャンによって検出された一般的な脆弱性に対する、厳選された自動修正推奨事項です。これらの推奨事項は、セキュリティの専門家と研究者で構成される HCL AppScan チームによって開発、レビュー、承認されています。脆弱性が特定されると、ASoC は適切な自動修正推奨事項をすばやく見つけ、GenAI を活用して修正のわかりやすいコンテキストを提供します。
ASoC は、GenAI を使用して要約およびコンテキスト化された、厳選された自動修正推奨事項を使用することで、開発者が迅速かつ極めて自信を持って修復の決定を下せるようにします。これにより、開発ライフサイクルの早い段階で問題を修復する全体的な時間が短縮され、後のビルドおよびテストフェーズでセキュリティチームによるよりコストのかかる修復の必要性が大幅に軽減されます。
今日、多くのベンダーが、多くの固有のリスクを伴う AI セキュリティコーディングアシスタントを提供しています。GenAI に自動修正推奨事項の作成を任せる場合、2 つの主な危険があります。1 つは、GenAI がトレーニングデータセットによって制限されることです。2 つ目は、GenAI は学習するにつれて一貫性のない応答を提供することが実証されています。その結果、提案される修正の品質はまちまちです。正確な修正推奨事項を提供するものもあれば、幻覚や不一致を含むものもあり、大幅な手動監視なしでは使用が安全でないコードを生成する可能性があります。ここでの矛盾は明らかです。GenAI が人間のレビューなしで完全に信頼できない場合、実際には開発者の作業が遅くなります。
HCL AppScan は、GenAI を使用して、精選された自動修正推奨事項を文脈化することで、セキュリティ専門家とソフトウェア開発者に、安全に使用でき、GenAI によく伴うリスクを回避できる強力な教育ツールを提供します。HCL AppScan のアプローチは、修正推奨事項を理解し、修復の一環として適用するまでの時間を短縮することに重点を置いています。
HCL AppScan は、Intelligent Finding Analytics (IFA) で SAST スキャンの精度を向上させ、Intelligent Code Analytics (ICA) でスキャン範囲を広げるために AI を活用してきた長い歴史があります。どちらの場合も、AI は 2 つの方法で開発者エクスペリエンスを向上させるために活用されています。1 つは、他の脆弱性の中でも最も優先度の高い脆弱性に焦点を当てること、もう 1 つは、開発者が最も重要な問題に集中できるように従来の検出結果をグループ化することです。
専門家も初心者も、HCL AppScan CodeSweep の自動修正機能が以前から利用可能だったことから、何年もの間、開発者は恩恵を受けてきました。この SAST テクノロジーのコミュニティエディションは、開発者 IDE のプラグインと CI/CD パイプラインに統合された、厳選された修正推奨事項を提供します。
GenAI を使用したこの新しいバージョンの自動修正は、SAST テクノロジーへのアクセスを含むライセンスを持つすべての ASoC ユーザーにすぐに提供されます。HCL AppScan は、近い将来、追加のプログラミング言語の自動修正を追加するなど、自動修正機能をさらに高速化する追加の計画があります。より深い GenAI 統合により、スキャン結果に基づく自動修正推奨事項の作成と実装など、自動修復のさらに多くの側面が処理されます。
自動修復は、GenAI がますます積極的な役割を果たす可能性があるアプリケーションセキュリティの重要な領域の 1 つです。ただし、修正推奨事項が信頼できるものでなければ、問題の修正速度を上げてリスクを軽減することはできません。GenAI によって提供される要約とコンテキストを備えた厳選された修正推奨事項を使用する HCL AppScan の自動修正リリースは、人間の専門知識と AI の効率性の完璧なバランスです。その結果、開発者が信頼できる高速で正確な自動修復ソリューションが実現します。
今すぐお問い合わせいただき、HCL AppScan on Cloud の無料トライアルをお試しになり、GenAI で強化されたこの自動修復ソリューションが、脆弱性の検出と修正をいかに迅速に行うのに役立つかをご自身でお確かめください。
HCL AppScan の高速、正確、俊敏なアプリケーションセキュリティテストソリューションの詳細をご覧ください。
本セミナーでは、ローコード/ノーコードツールの最新動向や、DXを実現している企業でどのように活用されているのか、導入事例や具体的な活用ポイントをご紹介いたします。 ローコード/ノーコード技術の基本から応用まで、迅速な変革と効率的な運用を実現するための、DX推進に役立つ実践的な知識をお届けします。
プログラム:
→ 詳細・お申し込み
テクてく Lotus 技術者夜会 2024年9月度を開催いたします。 2024年9月20日(金) 17:30 ~ 19:00 のオンライン開催となります。
今回のテーマ: 「コードネーム Rio Grande の Early Access Program」
アジェンダ・概要:
お申し込み → https://register.gotowebinar.com/register/8616118802354880346
新しい試みのトライアルとして、1週間分のサポート技術情報更新のインデックスを作成してみました。しばらく継続してみます。新規追加と内容更新したものが含まれています。システム上、軽微な修正であってもリストに含まれてしまいます。予めご了解ください。
Changes Coming to the Way You Access New HCLSoftware Releases の翻訳版です。
HCLSoftware DevOps の新リリースへのアクセス方法が変更されます
2024年8月14日
著者: Chris Haggan / Head of Product - DevOps, HCLSoftware
サービス向上に向けた継続的な取り組みの一環として、エキサイティングなアップデートをお知らせします。今年後半には、DevOps 向けのまったく新しいソフトウェア ダウンロード ポータルを公開する予定です。この新しいポータルは「My HCLSoftware」(略して MHS) と呼ばれ、お客様のフィードバックに基づいて設計されており、DevOps 購入の最新リリース、ライセンス、アップデートをよりシンプルかつ明確に取得できます。
2024 年 9 月以降、既存のダウンロード ポータルに新しいバージョンや修正をアップロードすることはなくなります。つまり、この日以降にリリースされた製品の HCLSoftware のダウンロードとライセンスを取得および管理するために、現在のポータルを使用することはできなくなります。9 月には DevOps 2024.09; のリリースが予定されており、以下の表にリストされている製品が「My HCLSoftware」を通じて最初に利用可能になります。
HCL DevOps 製品 |
以下のバージョンから MHS で利用可能になります |
HCL DevOps Code RealTime |
2024.09 (2.0.0) |
HCL DevOps Deploy |
2024.09 (8.0.1.3) |
HCL DevOps Model RealTime |
2024.09 (12.1.0) |
HCL DevOps Test |
2024.09 (11.0.3) |
HCL DevOps Velocity |
2024.09 (5.0.9) |
HCL Compass |
2.2.6 |
以下の製品は、2024 年 9 月以降に MHS で利用可能になります。 |
|
HCL DevOps Test Embedded |
2024.12 (9.1) |
HCL DevOps Code ClearCase |
TBD |
現在のポータルの公式サポート終了 (EOS) は、2025 年 6 月に設定されています。2024 年 9 月のリリース前に取得したすべての DevOps 製品ライセンスとダウンロードは、2025 年 6 月まで現在のポータルで引き続きご利用いただけます。
HCLSoftwareのチームは、現在のライセンス管理ポータルに代わる新しい改良されたライセンス ポータルに熱心に取り組んでいます。HCLSoftware は、強化された機能、より優れたパフォーマンス、および改善されたセキュリティを提供する新しいライセンス プラットフォームを開発しました。新しいポータルは、2024 年 9 月までに運用開始される予定です。進捗状況については引き続きお知らせし、今後の更新で新しいポータルに移行する方法についての詳細な手順を提供します。
今後の変更は、お客様のエクスペリエンスを向上させ、より堅牢なライセンス ソリューションを提供することを目的としています。HCLSoftwareの製品とサービスに対するお客様の継続的な信頼に感謝いたします。HCLSoftwareの取り組みに参加していただき、ありがとうございます。より良いサービスを提供できることを楽しみにしています。