組み込みソフトウェアでのセキュアコーディング実践、CERT Cが最適な理由とは？

　昨今ではあらゆるモノがネットワークにつながり、相互に連携することで新たな価値を創出可能になった。これまで独立環境で機能してきた組み込み機器も、その例外ではない。ネットワーク経由で攻撃されることはもはや珍しくなく、セキュアコーディングによるソフトウェア開発が進んでいる。

　セキュアコーディングの実践には、明文化された適用可能なコーディングスタンダードと、それに準拠できているかをチェックする静的解析ツールの2つが必要だ。セキュリティにおけるスタンダードとしてはCWE（Common Weakness Enumeration）、OWASP（Open Web Application Security Project）などがあるが、セキュアコーディングに特化し、優れたリスク評価フレームワークを内包する「CERT」（CERT C Coding Standard）が最適といえるだろう。

　本コンテンツでは、CERTをはじめとするさまざまなセキュリティ関連スタンダードをサポートする、C言語およびC++言語対応のテストツールについて紹介する。プログラムのサイズと複雑さが増し、手作業、目視によるコードチェックに限界を感じている組織にとって、こうしたツールの導入は不可欠だ。