2022年の振り返り - ハイライト、新たなイノベーション、そしてSecure Code Warriorを最大限に活用するためのリソース
Secure Code Warriorでは、日々変化するセキュリティの課題に取り組むために必要なスキルを開発者や組織が身につけられるよう、絶えず革新を続けています。
今年公開されたプラットフォームの主要機能やアップデート、リソース、ガイドラインをまとめました。これらを活用し、ソフトウェア開発サイクルの初期段階から開発者主導のセキュリティを導入することで、組織のソフトウェアを保護しましょう。
2022年のハイライト
2022年はセキュアコーディング学習にとって飛躍の年となりました。当社の学習プラットフォームの規模と広がりを示すため、ユーザーデータからいくつかの指標をまとめました。
2022年は構築の年でした。主要なハイライトをいくつか振り返ってみましょう！
2022年の主要リリース
近日公開：Coding Labs
Coding Labsでは、ブラウザ上で完全に動作する独自のIDE環境で、実践的な学習体験を通じてセキュアコーディングスキルを向上させることができます。使い慣れた環境でトレーニングを行うことで、新しいスキルの習得から実際のコードへの適用までがこれまで以上にスムーズになり、脆弱性が作り込まれる前に未然に防ぐことが可能になります。
Coding Labsは現在、お客様向けにプレビュー版を提供しています。アクセス方法については、 こちら からSCW担当者にお問い合わせください。
SCORM LMS連携
SCORMはeラーニングコースの国際標準規格です。コースがSCORM形式で公開されていれば、ほぼすべての学習管理システム（LMS）で利用可能です。
SCORM LMS連携により、管理者はセキュアコーディングのトレーニングプログラムを他のトレーニングプラットフォームと一元管理できるようになります。これにより時間を節約し、トレーニングプログラムをより効果的に改善するといった重要な業務に集中できるようになります。
Okta Workflows用Secure Code Warriorコネクタ
この連携機能は、ワークフローにセキュリティ習熟度チェックを組み込むことで、安全でないコードがコードベースに混入するのを防ぐのに役立ちます。
GitHubリポジトリなどでコードベースを扱う際、特定のレッスンや評価を完了することをコード編集の条件として設定できます。これにより、リーダーは各開発者が該当するコードベースで作業する準備ができているかを確認でき、組織全体のセキュリティ体制を強化できます。
デモはこちらからご覧ください
「開発者の生産性と実現」をテーマにしたウェビナーで、Coding Labsの詳細とライブデモをご覧ください。 開発者の生産性と実現
最新情報については、当社のブログ
Oktaのデモやその他の統合機能については、当社のProductTalksでご確認ください。
注目の脆弱性情報
Secure Code Warriorは、主要な脆弱性に対して迅速な対応を提供し、状況の把握と適切な対処をサポートします。さらに、可能な場合にはシミュレーションを作成し、メカニズムを実践的に体験することで、将来の脅威からアプリケーションをより強固に保護できるよう支援します。
2022年は、多くの脆弱性や攻撃が表面化した波乱の年でした。数百万のアプリケーションを危険にさらしたLog4jの脆弱性から、修正に約15年を要したPythonのtarトラバーサルパスまで、Secure Code Warriorは、こうした脆弱性に備えるためのガイドラインと無料のテストミッションを提供しています。
- Log4Jの脆弱性
- トロイの木馬ソース
- Springの脆弱性
- NGINXおよびMicrosoft Windows SMBリモートプロシージャコールサービスの脆弱性
- ハードコードされた認証情報
- Pythonのパストラバーサルバグ
その他のリリースとアップデート
Secure Code Warriorは、開発者のレベルを問わず、それぞれのスキルに合わせたスケーラブルで魅力的な教育を提供することに注力しています。6月には、四半期ごとのProductTalkウェビナーシリーズを開始し、お客様向けに展開しているエキサイティングな新機能の数々をご紹介しています。
2022年には、SCWで利用可能な言語やコンテンツが大幅に拡充されたほか、管理機能の重要な改善や、より詳細なレポート機能への取り組みが行われました。
柔軟で多様な教育
Secure Code Warriorは、63以上の言語（今後も増加予定）に対応したトレーニングコンテンツを提供しています。最も人気のある（JavaおよびC++）言語から、GOやTypeScriptのような注目言語まで網羅しており、2022年にはさらに多くのコンテンツと言語が追加されました。
- 新しいOWASPコーステンプレート で、開発者の基礎知識とセキュリティ意識をさらに高めましょう。
- 新言語 - SAP:ABAP SAP:ABAPのような ニッチな言語 も、開発者が好むコードスニペットやサンプル形式のトレーニングコンテンツで、SCWならではの学習体験を提供します。
効率化された設定と管理
セキュアコーディングプログラムの導入と維持を容易にすることがいかに重要であるかを私たちは理解しています。2022年には、管理者の業務を簡素化し、ストレスのない直感的な操作環境を実現するために、多くの意図的な改善を行いました。
- コースの表形式ビュー - 開発チームごとにコースを迅速に作成できるようになりました。
- コースの編集とバージョン管理 - 管理者は既存のコースを編集し、ゼロから作成し直すことなく基本的なコースバージョンを作成できます。
- 一括操作 - 少ないクリック数で多くの操作が可能になり、言語ごとに変更を適用するのではなく、一箇所からコース全体に変更を加えられます。
- 「継続」ボタン - ホーム画面の「継続」ボタンからコースにアクセスできます。新しいホームページにはアクティビティカードのリストが表示され、ユーザーは中断したモジュールをすぐに再開できます。
レポートと分析
企業管理者やチームマネージャーにとって、組織全体のアクティビティを監視することは、開発者のエンゲージメントを把握し、トレーニングプログラムの成功を測定するために不可欠です。完了したコース数やコースに費やした時間などの主要な指標にチーム単位または個人単位でアクセスすることで、より充実したトレーニングプログラムを構築するための戦略的な意思決定が可能になります。
- トレーニング指標 - プラットフォームへの滞在時間ではなく、開発者がトレーニングでどれだけ進歩しているかを示す指標を用いて、アプリケーションセキュリティプログラムの進捗と成功をレポートします。
- 評価CSVダウンロード - 開発者の強みと弱みを迅速に把握し、戦略や成熟度を評価できます。CSVダウンロードでは、単一のバージョンだけでなく、評価の全バージョンを取得可能です。
技術スタック統合
Secure Code Warriorの統合アプローチにより、SCWプログラムを使い慣れた製品や開発者のワークフローに直接組み込むことができます。これにより、ユーザーエクスペリエンスが向上し、ジャストインタイムでの修正が可能になるほか、学習効果の定着も促進されます。
- GitHub向けSecure Code Warrior - SARIFファイルやIssue、プルリクエストにコンテキストに応じたアプリケーションセキュリティのトレーニング教材を付加することで、GitHubワークフロー内でのトレーニングを実現します。開発者は必要なタイミングで知識にアクセスできるため、より高品質なコードを迅速にリリースできるようになります。
- GitLab向けSecure Code Warrior - GitLab内の脆弱性レポートの「Vulnerability Details（脆弱性の詳細）」セクションに、関連性の高いSecure Code Warriorのトレーニングリンクを埋め込みます。これにより、学習と知識の実践までの時間を短縮し、継続的な活用を促進します。
SCW+GitLabの詳細はこちら
- Synopsys Seeker統合 - Secure Code Warriorのリソース、動画、トレーニングリンクをSeeker内の脆弱性情報に紐付けます。Synopsys Seeker内でのマイクロラーニングにより、アクセスしやすいトレーニングガイダンスを通じて、脆弱性の特定と解決を支援します。
Devlympics 2022
Secure Code Warriorは、2022年10月19日に第2回年次セキュアコーディング大会「Devlympics」を開催しました。Devlympics 2022は昨年を上回る規模となり、2,910名の登録者、約800名のプレイヤーが「Champion」または「Ultimate Warrior」アリーナに参加しました。あらゆる経験レベルの開発者がセキュアコーディングスキルを向上させる場として、大きな成功を収めました。
24時間にわたるトーナメント期間中、世界中の開発者が、選択したプログラミング言語で攻撃的および防御的なコーディング課題に挑戦しました。開発者は、趣味でコーディングを行う層からプロフェッショナルまで、幅広いスキルを持つ仲間と競い合う機会を得ました。
同時に、セキュリティ専門家がSecure Code Forum Discordチャンネルに招待され、ライブプレイの実施やフィードバックの共有、ジョークやミームの交換、そしてSecure Code Warriorについての理解を深める交流が行われました。
成功を支援するリソース
Secure Code Warrior is one of four companies named in the Gartner® Cool Vendors™ in Software Engineering: Enhancing Developer Productivity report. In addition to offering innovative solutions that help organizations boost developer productivity and mitigate security risks, Secure Code Warrior has released a number of resources and research on the importance of Developer Driven Security.
開発チームからの関与や意見を得るのに苦労しているAppSecマネージャーの方も、チームのセキュリティ体制を強化しようとしているエンジニアリングマネージャーの方も、組織内で開発者主導のセキュリティを推進するために必要なガイドやツールをご用意しています。
- Secure Code Coach - 開発者がコミュニティメンバーと交流し、セキュアコーディングについて学ぶためのリソースハブ
- ホワイトペーパー：開発者主導のセキュリティの現状
- ホワイトペーパー：ソフトウェアセキュリティ向上のための課題
- セキュアコードトレーニングの青写真
- 開発チームのセキュリティ成熟度へのステップ
- 開発者セキュリティ成熟度マトリックス
- 開発チームにおけるセキュリティ成熟度の重要性
- 開発者主導のセキュリティハンドブック
Secure Code Warriorを試してみたいけれど、まだアカウントをお持ちでないですか？無料トライアルアカウントに登録して、今すぐ始めましょう。
Secure Code WarriorのTwitterをフォローして、最新リリースや改善に関する情報を受け取りましょう。
今回は以上です。また2023年にお会いしましょう！
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
