評価対象となるOpenSAMMのビジネス機能は検証です。この機能には、ソフトウェアが必要なセキュリティ基準とプラクティスを満たしていることを確認するためのレビューとテストに関連する活動が含まれます。質問の文脈において、ソフトウェアセキュリティグループが組織のセキュリティ基準への準拠を確保するために設計成果物のレビューに注力していることは、検証機能に該当します。これには、設計レビュー、実装レビュー、セキュリティテストなどのタスクが含まれ、これらはすべて、セキュリティ対策と管理策がソフトウェア設計に正しく統合されていることを検証することを目的としています。
参照: この情報は、OWASP SAMM ドキュメントに従って検証されています。このドキュメントでは、検証機能が、質問 1 で言及されている設計成果物の評価に直接関連する設計レビューなどのアクティビティを網羅するコア ビジネス機能として概説されています。

自動および手動のシステムインタラクションを通じて、外部に公開されているすべてのエンタープライズアプリケーションの脆弱性を評価するセキュリティテスト手法は、ペネトレーションテストと呼ばれます。この手法では、システムに対する実際の攻撃をシミュレートし、攻撃者に悪用される可能性のある潜在的な脆弱性を特定します。これは、実際の攻撃シナリオで悪用される前にセキュリティ上の弱点を発見するためのプロアクティブなアプローチです。ペネトレーションテストには、ネットワークスキャン、アプリケーションテスト、ソーシャルエンジニアリング戦術など、包括的なセキュリティ評価を確実に行うための様々な手法が含まれます。
: 脆弱性を評価する方法としての侵入テストの概念は、セキュリティに重点を置いた組織のリソースや文献1 に詳しく記載されているように、業界の標準および実践と一致しています。

包括的かつ詳細な説明：
記述されているシナリオは、ランダムデータといくつかの構造化クエリ言語（SQL）文を含む入力がシステムに入力され、テストデータが指数関数的に増加したことを示しています。この動作は、広範囲にわたるランダムデータや予期しないデータをシステムに入力することで脆弱性を特定するテスト手法であるファジングの特徴です。
ファジングは、不正な入力や予期しない入力をアプリケーションに大量に送り込み、システムの応答を観察することで、コーディングエラーやセキュリティ上の抜け穴を発見することを目的としています。ランダムな文字やSQL文の存在は、ファジングツールがシステムに様々なペイロードを注入することで、SQLインジェクションなどの脆弱性をテストしていたことを示唆しています。
このアプローチは、OWASP SAMMの検証業務機能の一部であり、具体的にはセキュリティテストプラクティスに含まれています。セキュリティテストでは、ソフトウェアを評価して悪用される可能性のある脆弱性を特定します。ファジングは、アプリケーションの堅牢性とセキュリティを確保するために、このプラクティスでよく用いられる手法です。
参考文献:
* OWASP SAMM: 検証 - セキュリティテスト

ここで説明するタスクは、長年使用されてきたドキュメント管理アプリケーションを評価し、組織のポリシーへのコンプライアンスを確保することです。これは通常、レガシーコードに対するセキュリティ戦略の範疇に含まれます。レガシーコードとは、長期間使用されているソフトウェアを指し、現在のセキュリティ標準や組織のポリシーを考慮して設計されていない可能性があります。レガシーコードに対するセキュリティ戦略には、アプリケーションをレビューおよび更新して現在のセキュリティ要件と組織のポリシーを満たし、長期にわたってセキュリティとコンプライアンスを維持することが含まれます。
参照: 回答は、レガシー ソフトウェア システムを管理および保護するための標準的な方法に基づいています。これには、現在のセキュリティ標準と組織のポリシーに準拠するための定期的な評価と更新が含まれます1。