オーストラリア政府がサイバーセキュリティ対策を本格化させていることから、これが国家レベルの主要なリスク領域として認識されていることは明らかですが、その戦略は十分な範囲をカバーできているのでしょうか。

「シフトレフト」、つまり開発プロセスのより早い段階でセキュリティを導入するという取り組みの多くは、根本的な解決には至っていません。

米国連邦政府による最新の大統領令は、機能的なサイバーセキュリティの多くの側面に触れていますが、開発者が与える影響と、開発者が検証済みのセキュリティスキルと意識を持つ必要性について、初めて具体的に言及しました。

米国国立標準技術研究所（NIST）は、ソフトウェアの脆弱性とサイバーリスクを低減するためのアクションプランを詳述したホワイトペーパーの改訂版を公開しました。

この記事の冒頭で、急成長を遂げるスタートアップ企業であることを示す事実や数字を並べることもできました。それらは間違いなく素晴らしいものであり、当社の現在の軌道も力強いものです。しかし、私にとってこれらの数字は、2019年に最も誇りに思っていることを反映するものではありません。

誕生日の節目は、これまでの努力の成果を振り返り、チームを称え、自信を持って翌年に挑むための素晴らしい機会です。創業から7年が経った今、ふと考えます。「私たちはやり遂げたのだろうか？」「もう一人前の企業と言えるのだろうか？」もちろん、組織として成熟はしましたが、創業当時から持ち続けている好奇心、情熱、そしてオタク気質をこれからも決して失いたくはありません。

プロのエンジニアはDevSecOpsを積極的に取り入れ、セキュアなコードを書きたいと願っています。しかし、その取り組みを拡大させるには、組織によるサポートが不可欠です。

今週、Secure Code Warriorは設立8周年を迎えました。8年という月日は、アポロ11号のミッション期間の350倍、サッカーの試合なら4万5000回分、あるいは『スーパーマリオ オデッセイ』を5696回クリアする時間に相当します。一方で、ゾウガメの寿命（ちなみに250年です）のわずか30分の1に過ぎません。急成長するスタートアップの世界において、この8年は多くの紆余曲折、学び、そして達成の連続でした。その多くは、創業時に事業計画を練っていた頃には想像もできなかったことです。

APIのセキュリティを運任せにするのは、将来的に問題を引き起こす確実な方法です。最悪の場合には壊滅的な結果を招き、最善の場合でも、フラストレーションの溜まる手戻りやパフォーマンスの低下を招くことになります。

接触確認アプリの考え方は理にかなっています。この技術が適切に機能すれば、感染拡大のホットスポットを迅速に特定し、包括的な検査を実施できるようになります。これらはどちらも、感染症の拡大と戦う上で不可欠な要素です。

なぜ重要なのか、安全でないコードがどのような結果を招くのか、そして何より、それぞれのプログラミングフレームワークで脆弱性を生み出さないためにはどうすればよいのか。これらを誰も教えない中で、開発者にセキュアなコードを書けと言うのは無理があるのではないでしょうか。

本研究の意義は、これまで報告されていなかった数多くの深刻なセキュアコーディング上の問題について、実証的な証拠を提示した点にあります。

昨年末、MITREの素晴らしいコミュニティが、2019年に世界に影響を与えた「CWE Top 25 Most Dangerous Software Errors（最も危険なソフトウェアエラー）」リストを発表しました。その内容のほとんどは、驚くようなものではありませんでした。

私たちのビジョンは、セキュリティを可視化し、開発者が最初からセキュアなコードを書くためのスキルとツールを提供することで、組織の第一線で活躍する防衛者として開発者を支援することです。

10代のセキュリティ研究者であるビル・デミルカピ氏が、学校で使用されているソフトウェアの重大な脆弱性を指摘したというニュースを見て、昔のことを思い出しました。私も好奇心旺盛な子供で、ソフトウェアの仕組みを理解しようと中身を覗き込み、あわよくば壊してやろうと試みたものです。

開発者が最初からセキュアなコードを書けるように支援することは、CISOがセキュリティの窮状から主導権を取り戻す好機であり、セキュリティチームと開発チームの双方にとって、迅速かつ容易で測定可能な改善を実現するチャンスでもあります。

開発者がJavaScriptのコーディング中にクロスサイトスクリプティングの脆弱性を混入させてしまった場合、その欠陥を作成してから数分以内に検知できれば、

2021年は、サイバー脅威から銀河を守るという、新たな宇宙開発競争が主流となる年になると予測しています。

医療分野は、サイバーセキュリティにおける次の「巨大な」戦場となる可能性があります。犯罪者は、診断や治療、そして生命維持を担うまさにその医療機器を標的にしているのです。

サイバーセキュリティの世界で、私たちはしばしばハンターに例えられます。常に地平線の先を見つめ、次に現れる脆弱性を探し求めているからです。しかし、こうした先を見据える姿勢は、皮肉にも全体的なセキュリティ意識を低下させてしまうことがあります。

開発者向けのイベントは、私の年間スケジュールの中でも特にお気に入りの一つです。ソフトウェアエンジニアや専門家が日々の業務でセキュリティを推進できるよう、たゆまぬ努力で教育と支援を続けるコミュニティの存在を改めて実感し、身が引き締まる思いがします。

私たちが直面している真の戦いは、スクリプトキディや危険な組織的サイバー犯罪集団との戦いではありません。データ侵害が実際に起きているという事実に対し、より多くの人々の関心を向けることこそが、真の戦いなのです。

ソフトウェアのセキュリティは、私にとって常に最優先事項です。私たちがデジタル化し、個人情報を共有するライフスタイルを送る中で、現実に存在する危険性も同様です。結局のところ、私たちは規制も監視もなく、見て見ぬふりをされている領域にいます。まさに「西部開拓時代」にいるようなものです。

セキュリティチーム以外では、事後対応ではなく予防を重視するアプローチの重要性が十分に理解されていない可能性があります。特に、深刻なセキュリティインシデントが発生していない場合はなおさらです。

今年、PCIセキュリティ基準委員会は、PCIソフトウェアセキュリティフレームワークの一環として、全く新しいソフトウェアセキュリティガイドラインを公開しました。このアップデートは、ソフトウェアセキュリティのベストプラクティスを現代のソフトウェア開発に適合させることを目的としています。

今、最も注目を集めるデジタル領域「メタバース」の出現は、コードレベルの脆弱性とソーシャルエンジニアリングの両面において、広大な新たな攻撃対象領域を生み出しています。私たちは、虚構と欺瞞が渦巻くこの新たな戦場に立ち向かう準備が、まだ全くできていないのです。

CIOがエンタープライズアジャイルの能力を積極的に構築する中で、セキュアコーディングのスキルはイノベーションの武器となります。逆に、そのスキルがなければ、組織を破滅させる要因となりかねません。

英国のHuaweiサイバーセキュリティ評価センターによる最近の報告書で、Huaweiのソフトウェアエンジニアリングプロセスにおける重大なセキュリティ上の問題が指摘されました。しかし、これは解決可能な問題です。

APIセキュリティは困難ですが、適切なトレーニング、計画、そしてベストプラクティスへの注力があれば、最も巧妙な脆弱性であっても軽減可能です。

規制当局の取り組みは今後間違いなく改善・拡大していくでしょうが、組織が今すぐパニックに陥って研修に飛びついたとしても、将来に向けて十分な備えができているとは言えないかもしれません。

DevOpsの導入に真の成功を収めている企業はごくわずかです。しかし、ビジネス全体で適切なサポート、育成、理解が得られれば、プロセスを大きく変革することができます。

GitHubリポジトリに対する最近の攻撃は、セキュリティ業界で長年指摘されてきた問題を浮き彫りにしました。それは、多くの開発者がセキュリティに対する意識を十分に持っておらず、貴重なデータが常に危険にさらされているという現実です。

コード内の脆弱性を発見するソリューションは数多く存在しますが、セキュリティ対策においては、開発者がそもそもミスを犯さないよう、セキュリティガイドラインを遵守するための教育により重点を置く必要があります。

サイバーセキュリティが重要であることは言うまでもありませんが、サプライチェーンという文脈において、それは具体的に何を意味するのでしょうか。

GDPRの施行に加え、ドイツ連邦政府のサーバーを含む多くの著名人の機密情報が流出した多段階攻撃を受けた後の戦略見直しにより、DACH地域のリーダーにとってサイバーセキュリティへの意識と行動が最優先事項であることは明らかです。

セキュリティを、企業のイノベーションを阻む厄介な障害と考えるのはやめなければなりません。

開発者はあらゆる背景を持ち、多種多様な人々で構成されています。私たちの活動の根底には、常にコミュニティの精神が息づいています。

「セキュアコーディング」とは何かという認識については、議論の余地があります。Evans Dataとの共同調査による最近の研究で、この考え方が明確に示されました。「State of Developer-Driven Security 2022（2022年版 開発者主導のセキュリティ状況）」調査では、1200人の現役開発者の洞察と経験を掘り下げ、セキュリティ領域における彼らの姿勢や課題を明らかにしています。

カスタマーサクセス担当VPのファテマ・ベイドゥンが先日、「未来のためのメンターシップ：サイバーセキュリティ業界における女性の才能を育むために私たちができること」と題した講演を行い、多くの聴衆から好評を博しました。彼女はサイバーセキュリティ業界にポジティブな変革をもたらす上で、欠かせない存在となっています。

セキュアコーディングは高等教育におけるソフトウェア工学の必須科目となるべきですが、一部の大学では、開発プロセスの初期段階からセキュリティを優先し、最高水準のトレーニングを提供する先駆的な取り組みが行われています。

創造的でインスピレーションにあふれるCISOやCIOは、デジタル世界を革新し形作る力を持っていますが、組織のセキュリティ文化を変革する上でも重要な役割を果たすことができます。

VxWorksという名前は一般の消費者にはあまり馴染みがないかもしれませんが、このソフトウェアは、私たちの日々の生活を支える多くの場面で活用されています。しかし今、VxWorksを搭載した数億台ものデバイスが危険にさらされているという事態に直面しています。

私たちは、セキュリティをすべての開発者の業務に不可欠なものにするために、対話のあり方を変えていく必要があります。そのための最善の方法の一つは、ゲーミフィケーションなどを通じて開発者がセキュリティに主体的に関わり、力を発揮できるようにすることだと考えています。

今年もまた、この特別な時期がやってきました。この1年を振り返り、成長と学び、そして避けられない不確実性に満ちた新たな1年に向けて、どのような準備をしてきたかを考える時期です。

正式発表します。私たちはBugcrowdとタッグを組み、セキュアコーディングに関する開発者の教育、支援、啓発に取り組んでいくことになりました。

セキュリティのあり方を一新する時期が来ていると思いませんか？それは、対話の内容を変え、双方にとって、特に開発チームにとって、すべてをもう少しポジティブに（そして何より楽しく！）することと同じくらいシンプルなことです。

経営層向けのサイバーセキュリティ研修であれ、開発者向けのJAVAやC#のセキュアコーディングスキル習得であれ、創造性やゲーミフィケーション、そして楽しさを取り入れる余地は十分にあります。

6月23日は、ギークカレンダーにおける特別な日、「国際女性エンジニアリングデー」です。この日は、ソフトウェア開発における女性の貢献に光を当てる絶好の機会です。

ソフトウェアセキュリティ業界は、温かみや情緒、人生哲学といったものとは縁遠い世界だと思われがちです。しかし、年齢を重ねるにつれ、私たちが世界に与えられる影響について深く考えるようになりました。

あらゆる業種・組織がサイバー攻撃の標的となる中、多額の損失や社会的信用の失墜、そして収益への悪影響を招くデータ侵害の脅威は極めて現実的なものとなっています。この問題は縮小するどころか、腫瘍のように拡大し続けています。

業界の多くのセキュリティ専門家が今年の注目すべき課題を予測し始めていますが、2019年には50億件以上の機密データが流出したという事実を踏まえると、近い将来サイバーセキュリティの世界で「起こらないこと」を予測する方が正確ではないかと考えました。

効果的な開発者向けセキュリティトレーニングを導入するための5つの重要な教訓

アプリやソフトウェアの役割を厳格な階層構造の中で定義し、最小権限の原則に基づいてポリシーを適用することで、脅威にさらされる現代の環境下でも、それらを確実に存続させ、成長させることができます。

「オープンソースソフトウェアセキュリティ動員計画」は、開発者主導のセキュリティに向けた前向きな一歩です。しかし、私たちは皆、立ち止まって自組織の成熟度を冷静に評価する必要があります。組織として、そして開発チームが、最新かつ最高の防御戦略を実装するためのセキュリティ意識とスキルを十分に備えているのか、見極めなければなりません。

組織のAppSec予算を最大限に活用する方法や、会場からの鋭い質問など、注目のトピックを取り上げた「Leaders in AppSec」パネルディスカッションは、セキュリティ専門家が組織内で実行可能なプログラムを構築するための貴重な知見をもたらしました。

娘と会社が成長するにつれ、スタートアップの旅路と「初めての」子育てには多くの共通点があることに気づかされます。どちらも、私は今4年目を迎えています。

すべての開発者が、新人であれベテランであれ、自問すべき問いがあります。そして、その答えは極めて重要です。

現代のサイバーセキュリティという絶え間ない猛攻に対抗するため、私たちは現実的なアドバイスや迅速な解決策を得られていません。もちろん、侵害の形はそれぞれ異なり、脆弱なソフトウェアを悪用する攻撃手法も数多く存在します。汎用的なアドバイスには限界があるとはいえ、ベストプラクティスとされるアプローチは、時が経つにつれて欠陥が目立つようになっています。

レガシーなCOBOLは、古いコンピュータ言語でありながら、今日でも有効です。Secure Code Warriorで、COBOLのセキュアなアプリケーション開発について詳しく学びましょう。

APIセキュリティは、多くのセキュリティ専門家にとって常に意識すべき課題であり、私たちはそれに対抗するための知識を身につける必要があります。

今年初め、PCIセキュリティ基準委員会（PCI SSC）は、PCIデータセキュリティ基準（PCI DSS）のバージョン4.0を発表しました。組織が4.0に完全準拠する必要があるのは2025年3月までですが、このアップデートはこれまでで最も変革的なものであり、多くの企業は複雑なセキュリティプロセスや技術スタックの要素を評価し、場合によってはアップグレードすることが求められます。さらに、役割に応じたセキュリティ意識向上トレーニングの実施や、開発者向けの定期的なセキュアコーディング教育も必要となります。

Secure Code WarriorのCEO兼共同創設者、Pieter Danhieux氏へのCyberNewsインタビュー

CISAの国家サイバーセキュリティ戦略は、ソフトウェアの基準を全面的に引き上げ、セキュリティスキルを備えた開発者の新時代を切り拓くための最良の機会です。

LLM（大規模言語モデル）ベースのAI技術が、ソフトウェア開発のみならず、あらゆる業務のあり方を根本から変えていくことは避けられないでしょう。しかし、私たちは一度立ち止まり、見出しを飾る華々しい話題の裏に潜むリスクを考慮しなければなりません。コーディングの相棒としてのAIにおいて、その欠陥こそが、最も「人間らしい」特性と言えるのかもしれません。

当社はシリーズCラウンドで5,000万ドルの資金調達を完了したことを発表しました。これは、より多くの先駆的な組織が開発チームの力を活用し、一般的な脆弱性を未然に防ぐという当社のミッションを次のフェーズへと進めるためのものです。

シリーズCの資金調達発表に続き、当社の新たな歩みについてお知らせできることを大変嬉しく思います。セキュリティ業界のリーダーであるシノプシス社が、同社の製品スイートに「Synopsys Developer Security Training, powered by Secure Code Warrior」という新たな強力なソリューションを迎え入れました。

サイバーセキュリティ戦略計画は、多くの組織のサイバーセキュリティへの取り組み方に大きな変革を迫るものであり、開発者はこれらの新たな目標を達成する上で独自の役割を担っています。

おかげさまで本日、当社は9周年を迎えました。急速に変化し続けるサイバーセキュリティ業界において、私たちが成し遂げてきた成果と、確固たる地位を築けたことを誇りに思うとともに、心から感謝しています。

主要なLinuxディストリビューションで使用されているデータ圧縮ライブラリ「XZ Utils」において、攻撃者が仕込んだバックドアによる深刻な脆弱性「CVE-2024-3094」が発見されました。この重大な脆弱性は、リモートコード実行を可能にする恐れがあり、ソフトウェアのビルドプロセスに多大なリスクをもたらします。Fedora Rawhideの初期バージョン（5.6.0および5.6.1）が影響を受けるため、組織は早急にパッチを適用する必要があります。このインシデントは、オープンソースソフトウェアの維持におけるコミュニティボランティアの重要な役割を再認識させるとともに、ソフトウェア開発ライフサイクルにおけるセキュリティ対策とアクセス制御の強化の必要性を強調しています。

Secure Code Warriorの創業チームは10年間、あらゆる教訓、成功、挫折を共に乗り越えてきました。私たちは今、開発者リスク管理のリーダーとして、次の章である「SCW 2.0」に向けてさらなる飛躍を遂げようとしています。

「バイブ・コーディング」は大学のフラタニティ・パーティーのようなものです。AIはそのパーティーの主役であるビール樽のような存在です。羽目を外して創造性を発揮し、想像力をどこまで広げられるか試すのは楽しいものですが、飲みすぎれば（AIを使いすぎれば）、長期的には節度を持って利用する方が安全であることは言うまでもありません。

サイバーセキュリティの世界は、エージェント型AIに対してあまりに急ぎすぎているのではないでしょうか。AIセキュリティの未来はすでに到来しており、専門家は「考察」から「現実的な対応」へと移行すべき時が来ています。

2025年はAI、サイバーセキュリティ、そしてSCWにとって飛躍の年となりました。私は今、確かな手応えと、懸命な努力が実を結んだ時にのみ得られる楽観的な気持ちを胸に、2026年を迎えようとしています。

Secure Code WarriorとKnowBe4の戦略的パートナーシップ締結を発表できることを大変嬉しく思います。KnowBe4は、人間およびエージェント型AIのリスク管理における世界的なリーダーであり、世界中の組織に不可欠なセキュリティ意識を浸透させるための最適なパートナーです。

KnowBe4を通じて提供されるSecure Code Warriorのコンテンツは、OWASP Top 10リスク、AI支援開発、最新のセキュアコーディング手法を網羅した体系的な学習を通じて、技術チームのセキュアコーディングとAIガバナンスへの意識向上を支援します。

Adaptive Learningは、SCW Trust Agentと当社の学習プラットフォーム全体を連携させ、開発者のリアルタイムな活動に完全に適合したトレーニングを提供します。

Secure Code Warriorは本日、AI導入の段階を特定し、組織内のAIセキュリティリスクを確実に制御するための、規範的かつ方向性を示したAI導入モデルに関する新しいホワイトペーパーを発表しました。

AIによるコード補完から自律型エージェントまで、ソフトウェア開発の進化と、それがセキュリティ、ガバナンス、そしてチームにもたらす意味を解説します。