Colgate-Palmolive がどのようにして開発者のセキュリティスキルを高め、安全なコーディング文化を築いたか

テル; 試してください

コルゲート・パルモリーブについて

Colgate-Palmolive Companyは、世界中の家庭で知られ、愛されているマーキス・コンシューマー・プロダクツブランドです。2世紀以上の歴史があるにもかかわらず、彼らはデジタルを活用して人々、ペット、そして地球のより健康的な未来を再考する革新的な成長企業です。

状況

Colgate-Palmoliveは、他のほとんどの組織と同様に、顧客により良いサービスを提供するためにデジタル変革を進めており、これが組織のアプリケーションセキュリティへの取り組み方に変化をもたらしています。

コルゲート・パルモリーブのCISOであるアレックス・シューチマン氏は、このように述べています。

「当社にとって、お客様のデータを保護することで、製品だけでなく、お客様と当社とのデジタルインタラクションにおいても信頼を築くことが非常に重要です。」

しかし、アレックスにとっての課題は、潜在的な顧客データ侵害の根本原因、つまりコード自体を保護することでした。

「CISOとしての役割に転向したとき、アプリケーションのビルド側での作業は本当に役に立ちました。AppSecからチケットを取り戻すのが大変だったり、やり直しのせいで締め切りに間に合わなかったりするフラストレーションは理解できます。その結果、CISOとしての私の目標は、ソフトウェア開発ライフサイクルのセキュリティを強化することだけでなく、その実装方法を合理化することでもありました。」

アクション

Colgate-Palmolive は、セキュリティトレーニングを一口サイズの小さな単位に分割することで、この課題に取り組みました。これにより、開発者が慣れ親しんでいた長くて一枚岩のコンプライアンストレーニングではなく、自分のワークフローに組み込むことができるようになり、より受け入れやすくなりました。Secure Code Warriorのアジャイルで状況に応じたアプローチを活用して安全なコード学習を行うことで、開発者は実際のプロジェクトのコンテキストにおける脆弱性を理解できるようになりました。その結果、安全なコーディングスキルのエンゲージメントが高まり、長期的に定着できるようになりました。

「開発者のエンゲージメントを維持しながら、これらのベストプラクティスを展開したかったのです」と Alex 氏は言います。「私たちはまだプログラムの重要な部分を義務付けていますが、トレーニングを管理しやすく保ち、開発者のフィードバックに耳を傾けることが、プログラムの成功につながりました。」

Colgate-Palmolive は GitHub リポジトリをゲートする Okta ワークフローを実装し、以下の図に示すように、特定の SCW 評価に合格した開発者のみがプルリクエストにアクセスできるようにしました。

結果

アレックスによると、 「成功に向けて最適化するには、最初から開発者を参加させる必要があることを理解していました。そこで私たちは、開発者がプログラムの成功に欠かせない存在であることを開発者に確実に伝えました。その結果、セキュリティチームと開発者の関係が大幅に改善され、プログラムにおいてチームとして協力しているように感じました。私たちは、これまでの成功をさらに発展させながら、セキュリティ成熟度プログラムの拡大と拡大を続けています。」

重要なポイント

1. プログラムの目標を明確に定義し、開発者の意見とエンゲージメントを強調します。開発者は、自分のワークフローに組み込まれ、日常的に使用する開発ツールと統合された安全なコード学習プログラムに賛同する傾向があります。
2. Okta などの SSO ツールを使用してコードリポジトリをゲートすると、チームのモチベーションが高まります。プルリクエストを行うことができるのは、特定の SCW コースと評価で合格点を獲得した開発者のみです。
3. 時間をかけて、アプリケーションセキュリティチームと開発チーム間の強固な協力関係を促進するセキュリティ文化を構築してください。

‍