はじめに： OWASP SAMMとは？
「OWASP SAMM（オワスプ サム）」という言葉を聞いたことがありますか？ これは、ソフトウェア開発におけるセキュリティ対策の成熟度（どれくらいしっかりできているか）を測り、改善していくためのフレームワークです。
OWASP (Open Web Application Security Project) という、Webアプリケーションのセキュリティ向上を目指すオープンなコミュニティによって開発されました。SAMMは「Software Assurance Maturity Model」の略で、直訳すると「ソフトウェア保証成熟度モデル」となります。
簡単に言うと、あなたの会社やチームが作っているソフトウェアのセキュリティ対策が、今どのレベルにあって、これからどう改善していけば良いのかを「見える化」してくれる、いわば「ソフトウェア開発の健康診断ツール」のようなものです。
このブログでは、初心者の方にも分かりやすく、OWASP SAMMについて解説していきます！
OWASP SAMMは何を目指しているの？
OWASP SAMMの主な目的は、組織が自分たちのソフトウェアセキュリティの状況を客観的に評価し、改善していくための道筋を示すことです。具体的には、以下のようなことを目指しています。
- 現状評価: 今、どんなセキュリティ対策をしていて、どのくらいのレベルなのかを客観的に評価する。
- 改善計画の策定: 評価結果をもとに、どこを重点的に改善すべきか、具体的な目標を設定し、計画を立てる。
- 進捗測定: 計画に沿って改善を進め、その効果を測定し、継続的にセキュリティレベルを高めていく。
- 組織に合わせた調整: どんな規模の組織でも、どんな開発プロセス（ウォーターフォール、アジャイル、DevOpsなど）でも使えるように、柔軟に調整できる。
SAMMは、「完璧なセキュリティ」をいきなり目指すのではなく、組織のリスクや状況に合わせて、段階的にセキュリティレベルを向上させていくことを重視しています。
OWASP SAMMの構成要素：ビジネス機能とセキュリティプラクティス
OWASP SAMMは、ソフトウェア開発ライフサイクル全体をカバーするために、5つの「ビジネス機能（Business Functions）」と、それぞれのビジネス機能に属する3つの「セキュリティプラクティス（Security Practices）」（合計15個）で構成されています。
各ビジネス機能とセキュリティプラクティスの概要は以下の表の通りです。
| ビジネス機能 (Business Function) | セキュリティプラクティス (Security Practice) | 主な目的 |
|---|---|---|
| ガバナンス (Governance) 組織全体のソフトウェア開発を管理する方法 | 戦略と指標 (Strategy & Metrics) | 組織のリスクに基づいたセキュリティ戦略を立て、その効果を測定する。 |
| ポリシーとコンプライアンス (Policy & Compliance) | セキュリティに関するルール（ポリシー）を定め、それが守られているか確認する。 | |
| 教育と指導 (Education & Guidance) | 開発者や関係者にセキュリティに関する知識やスキルを身につけてもらう。 | |
| 設計 (Design) ソフトウェアの設計段階でのセキュリティ対策 | 脅威モデリング (Threat Modeling) | ソフトウェアに潜む可能性のある脅威（攻撃されそうな箇所）を洗い出す。 |
| セキュリティ要件 (Security Requirements) | ソフトウェアに必要なセキュリティ機能や対策を明確にする。 | |
| セキュアアーキテクチャ (Secure Architecture) | セキュリティに配慮したソフトウェアの構造（設計図）を作る。 | |
| 実装 (Implementation) コーディングやビルド、デプロイ時のセキュリティ対策 | セキュアビルド (Secure Build) | 安全な方法でソフトウェアを組み立てる（ビルドする）プロセスを確立する。 |
| セキュアデプロイメント (Secure Deployment) | 安全な方法でソフトウェアを本番環境などに展開（デプロイ）するプロセスを確立する。 | |
| 欠陥管理 (Defect Management) | 発見されたセキュリティ上の問題（脆弱性など）を管理し、修正するプロセスを確立する。 | |
| 検証 (Verification) ソフトウェアのセキュリティをテスト・確認する方法 | アーキテクチャ評価 (Architecture Assessment) | 設計（アーキテクチャ）がセキュリティ的に問題ないか評価する。 |
| 要件駆動テスト (Requirements-Driven Testing) | 定義したセキュリティ要件が満たされているかテストする。 | |
| セキュリティテスト (Security Testing) | 様々な手法（脆弱性スキャン、ペネトレーションテストなど）でセキュリティ上の問題がないかテストする。 | |
| 運用 (Operations) ソフトウェア稼働後のセキュリティ管理 | インシデント管理 (Incident Management) | セキュリティ事故（インシデント）が発生した際の対応プロセスを準備・実行する。 |
| 環境管理 (Environment Management) | ソフトウェアが動く環境（サーバー、OSなど）を安全に保つ。 | |
| 運用管理 (Operational Management) | 日々の運用業務（データのバックアップ、アクセス権管理など）を安全に行う。 |
これらのプラクティスごとに、自社の取り組み状況を評価していくことになります。
成熟度レベル：セキュリティレベルを測るものさし
OWASP SAMMでは、各セキュリティプラクティスの達成度合いを「成熟度レベル（Maturity Levels）」という指標で評価します。レベルは0から3までの4段階あります。
- レベル 0: 未実施 (Inactive) – そのプラクティスに関する活動がほとんど行われていない状態。
- レベル 1: 初期段階 (Initial) – いくつかの基本的な活動がアドホック（場当たり的）に行われている状態。
- レベル 2: 定義済み (Defined) – 活動が標準化され、文書化されている状態。多くの組織で安定して実施されている。
- レベル 3: 習熟 (Mastery) – 活動が最適化され、効果が測定され、継続的に改善されている状態。
全てのプラクティスでレベル3を目指す必要はありません。組織のリスクやビジネス目標に合わせて、各プラクティスで目指すべきレベル（目標レベル）を設定することが重要です。
OWASP SAMMを使ってみよう！
では、実際にOWASP SAMMをどのように活用していくのでしょうか？基本的なステップは以下の通りです。
- アセスメント（評価）: まず、現状の把握から始めます。OWASP SAMMが提供する質問票やツールを使って、各セキュリティプラクティスの成熟度レベルを評価します。自己評価でも、外部の専門家による評価でも構いません。
- 目標設定: アセスメント結果と、組織のリスクやビジネス目標を考慮して、各プラクティスで目指す成熟度レベル（ターゲットレベル）を決定します。
- ロードマップ作成: 現状レベルと目標レベルのギャップを埋めるための具体的な計画（ロードマップ）を作成します。どのプラクティスから、いつまでに、どのような活動を行うかを明確にします。
- 改善と再評価: ロードマップに沿って改善活動を実施します。そして、一定期間後（例えば半年後や1年後）に再度アセスメントを行い、進捗を確認し、必要に応じて目標やロードマップを見直します。このサイクルを繰り返すことで、継続的にセキュリティレベルを向上させていきます。
OWASP SAMMの公式サイト (https://owaspsamm.org/) では、アセスメントに役立つツール（Excelシートなど）や詳しいドキュメント（v2.0が最新）が無料で提供されています。ぜひ活用してみてください。
まとめ
OWASP SAMMは、ソフトウェア開発におけるセキュリティ対策の現状を客観的に評価し、改善していくための強力なフレームワークです。
導入することで、以下のようなメリットが期待できます。
- セキュリティ対策の状況が「見える化」され、課題が明確になる
- 組織のリスクに基づいた、現実的な改善目標と計画が立てられる
- 継続的な改善サイクルにより、着実にセキュリティレベルが向上する
- 組織全体でセキュリティに対する意識が高まる
ソフトウェアのセキュリティ対策、「何から始めればいいか分からない」「どこまでやればいいか分からない」と感じているなら、まずはOWASP SAMMを使って現状を評価してみることから始めてみてはいかがでしょうか？