DevSecOpsの明るい未来？それはあなたが思うよりも近くにあります

Data Breach Today誌に掲載されたSuparna Goswami氏による洞察に満ちた記事に、多くの専門家と共に寄稿できたことを嬉しく思います。Data Breach Today。同氏が指摘するように、データ侵害を防ぐにはソフトウェア開発ライフサイクル（SDLC）の初期段階でセキュリティに取り組むことが不可欠であるという点では広く意見が一致していますが、実行に移すのは容易ではありません。CISO（最高情報セキュリティ責任者）による素晴らしい洞察や、CI/CDワークフローにおけるアプリケーションセキュリティの最大の課題が「自動化・統合されたセキュリティテストツールの不足」であるという最近の調査結果も紹介されています。

私の考えでは、DevSecOpsは開発者がコードを書き始める時点から開始されるべきです。DevSecOpsを効果的に機能させるには、開発者が最初からセキュアなコードを書くための教育、スキル、ツールを備えていることが大前提となります。もし開発者がリアルタイムでセキュアなコードを書く方法を学び、さらに言えば、そもそも多くのバグを作り込まないようになれば、セキュリティマネージャーやテストツールは、より困難で複雑な脆弱性の発見と修正に集中できるようになるはずです。

コード内の脆弱性を発見するソリューションは数多く存在しますが、セキュリティ対策においては、開発者がそもそもミスを犯さないよう、セキュリティガイドラインを遵守するための教育により重点を置く必要があります。

開発者がコードを書く過程でセキュアなコードを記述し、大半のエラーをその場で修正できるよう支援すべきであり、それを実現する技術が現在存在することを誇りに思います。スペルや文法のチェックツールがライターを助けるように、開発者も関連する言語やセキュリティポリシーに基づき、リアルタイムでセキュアなコーディングを支援できるようになりました。これこそが、DevSecOpsにとってより簡単で明るい未来であると私は考えています。

それこそが、当社のSecure Code Warrior Senseiが提供するものです。これは開発チームのためのリアルタイムセキュリティコーチとして機能し、AppSecによって管理されることで、開発者が常にセキュリティガイドラインを意識できる環境を整えます。これにより、一貫性があり、よりセキュアで、より迅速なコーディングが可能になります。アーリーアダプタープログラムでは、バグ修正にかかる時間を平均3時間からわずか10分に短縮できることが確認されています。

私たちは、DevSecOpsのタイムラインに合わせて機能し、効率的かつ何よりも正確なセキュリティツールを使用する必要があります。今こそ、より高い水準のソフトウェアセキュリティを目指すべき時です。

コード内の脆弱性を発見するソリューションは数多く存在しますが、セキュリティ対策においては、開発者がそもそもミスを犯さないよう、セキュリティガイドラインを遵守するための教育により重点を置く必要があります。