ゴールド・フォー・ゴール：Paysafeのセキュア・コード基準の急上昇

Paysafeは、金融取引を信頼に根ざした体験に変える手助けをしており、年間1,520億ドルを超える取引量を処理する安全でシームレスなプラットフォームを提供するには、基本的なコンプライアンス基準を満たすだけでは不十分であることを認識しています。過去4年間、PaysafeはSecure Code Warriorとのパートナーシップを通じて、開発者のリスク管理に対する総合的なアプローチを推進し続けています。同社のアプリケーションセキュリティプログラムは、次のようなビジネスニーズ全体にプラスの影響を与えていることが実証されています。

‍
課題:Paysafe全体のセキュアコード基準の向上

Paysafeは多国籍オンライン決済プロバイダーとして、セキュアコーディングを単にPCI DSSコンプライアンス要件を満たすだけにとどまらない戦略的優先事項として常に考えてきました。専門家による正式なクラスルームトレーニングセッションとスキル評価は初期の取り組みの一部でしたが、Paysafeの目標は常に、セキュアコーディングイニシアチブの範囲と規模を継続的に拡大し、アプリケーションセキュリティに対するクラス最高のアプローチを確保し、エンジニアが最初からセキュアコードを作成できるようにすることでした。

「私たちにとって、トレーニングを提供してきたのは、単にチェックを入れるだけのことではありませんでした。私たちの目標は、進行中の開発状況を常にスタッフに知らせることです。私たちは常により良くなり、より多くのことを行うよう努めています。エンジニアリングチームとセキュリティチームに協力してもらいたいと考えています。自分で開発できるチームは、より多くの情報を得て、より優れたコードを設計できます」と、Paysafeの人材開発パートナーであるBoyan Hristov氏は言います。

Paysafeのビジョンは、セキュリティを左にシフトし、ソフトウェア開発ライフサイクルのあらゆる段階に安全なコーディングプラクティスを組み込むセキュリティ意識の高いエンジニアを育成することでした。これをサポートするには、PCI コンプライアンスのための監査証拠を提供するだけでなく、深く永続的な文化的変化を促すような、スケーラブルで魅力的で継続的なプログラムが必要でした。これには、開発者を引き付け、業界のセキュリティトレンドの最前線に留まるように促すための、ゲーム化された学習体験、定期的なトーナメント、常時実施のトレーニングなどが含まれていました。

解決策:安全なコードウォリアーによる最先端のアプローチ

PaysafeはSecure Code Warriorの開発者リスク管理プラットフォームを採用して、安全なコーディングプラクティスの拡大、エンジニアの関与、開発ライフサイクルの早い段階でのセキュリティの組み込みを支援しました。同社のセキュリティチャンピオンプログラムは時間とともに拡大し、Secure Code Warriorはサイバーリスク防止の目標を達成する上で重要な役割を果たしてきました。

Paysafeは、開発者がプラットフォームと有機的に関わり合うことを可能にし、魅力的な賞品付きのトーナメントなどのゲーム化されたアクティビティを奨励して、開発者を参加させ、ワクワクさせることを可能にしました。このプログラムが最初に開始されたとき、PCIコンプライアンス要件を満たすためにいくつかの評価が義務付けられ、オプションとして他のコンテンツやアクティビティも提供されていました。

プログラムが勢いを増すにつれ、経営陣はさらなる支援を提供し、開発チームと情報セキュリティチームの目標をさらに一致させました。これにより、Paysafeチームはプログラムを次のレベルに引き上げ、指定されたKPIと成功インセンティブを備えたより正式な認定プログラムを導入することができました。

プログラムの次のフェーズでは、業界標準のOWASPトップ10のトピックに焦点を当て、開発者がさまざまなレベルの成果を上げることができる認定ステージを設けました。現在、このプログラムは新たな規模と成熟度に達し、正社員から派遣労働者まで、開発者のベースライン基準が全面的に引き上げられました。

‍「私たちは、過去4年間にSCWと築いてきたパートナーシップを非常に高く評価しています。Paysafeの最高情報セキュリティ責任者であるAlan Osborneは、こう語っています。これは、SDLCで初めてセキュアコードを開発し、可能な限り早い段階でセキュアコードを開発するという共通のコミットメントに支えられて、対象を絞ったアプリケーションセキュリティトレーニングを提供し、セキュリティチームとエンジニアリングチーム間のより強固な関係を築くことができました。

エンジニアリング分野のCISO、CTO、エグゼクティブリーダーの継続的なサポートと連携により、PaysafeはSecure Code Warriorと提携してプログラムを継続的に進化させてきました。現在、このプログラムはビジネスニーズと密接に連携し、目に見える成果をもたらし、社内チームにとって関連性が高く魅力的なものであり続けています。

結果:組織全体で安全なコードを実現するための新しい基準

Paysafeのアプリケーションセキュリティへの取り組みは、4年前に開始されてから改善されています。Paysafeは、Secure Code Warriorとのパートナーシップを通じて、開発者リスク管理への総合的なアプローチが組織全体に多大な影響を与える可能性があることを実証しました。

PaysafeがSASTスキャンデータを分析したところ、Secure Code Warriorでトレーニングを受けたチームが開発したアプリケーションでは、開発の初期段階のスキャンで検出された脆弱性が著しく減少したことが示されました。最初のスキャンで見つかった脆弱性の数は、開発者が SCW プラットフォームに積極的に関わっていたチームではさらに減少しました。

Secure Code Warriorのアクティビティとエンゲージメントのレベルが最も高いチームは、開発の初期段階で見つかった脆弱性が前年比で大幅に減少しました。これは、安全なコーディング習慣を強化するための継続的なスキルベースのトレーニングの付加価値を浮き彫りにしました。最初から安全なコードを作成したことで、彼らのチームや SDLC に所属する他のチームは、時間を大幅に節約できました。開発の初期段階で脆弱性を防ぐことで、コードの脆弱性を特定、記録、修正する必要がなくなり、何千もの開発時間が節約されました。その結果、開発者の生産性が 45% 向上し、安全なコードのスキルアップと日々の開発プロセスの改善のメリットを実証できました。エンジニアリングチームとアプリケーションセキュリティチームの両方にとってメリットがあります。

Paysafeのセキュアコードへの献身的な取り組みにより、Paysafeは目立つようになり、SCWトラストスコアで4位にランクインしました。^® 銀行および金融サービスのベンチマーク内。これは彼らが誇りに思う成果ですが、Paysafeのセキュア・コード・イニシアティブへの取り組みはそれだけではありません。Paysafeは、Secure Code Warriorとのパートナーシップを通じて得られた成果に勇気づけられ、プログラムのさらなる向上を目指しています。

Paysafeの最高情報セキュリティ責任者であるアラン・オズボーンは、「Secure Code Warriorのおかげで、開発者の生産性を高め、製品や改善を市場に投入する能力を加速し、時間の経過とともにコストとリスクを大幅に削減することができました」と述べています。「強化された開発者トレーニングによって推進されるセキュアコーディングは、単に「あれば良い」ものではなく、開発者のスキル、経験、能力を強化しながら真のROIを実現する実証済みの投資であることを実証しました。」

次に、Paysafeは、追加のガバナンスとリスク管理対策をプロセスに組み込むことで、セキュリティ基準をさらに運用することを目指しています。SCW Trust Agentは、Secure Code Warriorとの長年のパートナーシップを深め、サイバーセキュリティの卓越性への取り組みを示しています。