信頼の構築：AppSecと開発者が真のセキュリティシナジーを生むための道筋

本記事はCyber Defense Magazineに掲載された記事を基に、最新情報を加えて転載したものです。

不信という不安定な基盤の上に築かれた関係には、過度な期待を抱かないのが賢明です。悲しいことに、組織内の開発者とAppSecチームとの協力関係は、まさにこのような状態に陥りがちです。互いに距離を置き、足の引っ張り合いになりがちなこの状況は理想的とは言えず、テクノロジーへの依存度が高い現代において、組織に深刻なリスクをもたらす結果となります。

開発者は、問題解決や機能開発、そして創造性を発揮することにやりがいを感じます。一方でAppSecチームは、コード内のセキュリティバグを見つけ出し、修正を求めて突き返し、エンジニアが丹精込めて作ったプロジェクトに水を差すような監査や報告を行うという、非常に困難な役割を担っています。開発者だけを責めるのは公平ではありません。セキュリティは彼らの優先事項でもKPIの一部でもないからです。かといって、多忙を極めるAppSecチームが職務を全うしているだけで非難されるべきでもありません。しかし、サイバーセキュリティのベストプラクティスを実践し、組織としてより良いセキュリティ成果を上げるためには、両者が協力し合う姿勢が不可欠です。

そして、そのすべては信頼から始まります。

AppSecが「悪者」扱いされることが、DevSecOpsの調和を妨げています。

誰かと接するのが、自分の間違いを指摘される時だけだとしたら、その相手に対して好印象を抱くのは難しいでしょう。

問題が起きた時にしか姿を見せないセキュリティチームの存在は、ネガティブな印象を与え、摩擦を生む原因となります。開発者はAppSecチームを、自分たちの創造性やプロセス、そして納期通りのリリースを阻む存在だと見なし、AppSecチームは、何十年も前から存在する（そして解決策も確立されている）ありふれたセキュリティバグを指摘し続けることに疲れ果てている。こうした関係の断絶は、長らく続いています。

過酷な納期、リソース不足、そして手戻りを避けたいという強い思いから、開発者はコードのリリースをギリギリまで引き延ばすことが多く、AppSecによるレビューや介入の機会は最小限に抑えられてしまいます。このような機能不全に陥ったプロセスは、組織のサイバーセキュリティリスクを高めるという、看過できない影響を及ぼしています。

セキュリティ専門家からすれば、「メッセンジャーを撃つな」と言いたいところでしょう。彼らの仕事はバグを見つけて報告し、修正を促すことであり、個人的な感情とは無関係だからです。しかし問題は、彼らの推奨事項が、その企業の技術スタックに必ずしも最適とは限らない点にあります。そのため、社内のソフトウェア開発という大きな視点で見ると、あまり役に立たないと見なされてしまうのです。

AppSecを悪者と見なす考え方は、ほとんどの開発手法において直感に反するものですが、DevSecOpsにおいては致命的です。現在のゴールドスタンダードは、ウォーターフォールやアジャイル、さらにはDevOpsの枠組みを超え、SDLC（ソフトウェア開発ライフサイクル）の初期段階からセキュリティを共有責任として組み込むプロセスへと進化しています。

DevSecOpsを成功させるには、ソフトウェアエンジニアがセキュリティを自分事として捉える必要があります。そのためには、世界中のソフトウェアを守るために自分たちが果たす役割がいかに重要かを理解してもらうことが不可欠です。歩み寄りの姿勢を見せ、開発マネージャーと協力してチームのニーズに応え、セキュリティ意識を高めるためのメンター役を担うセキュリティ専門家は、長期的に大きな成果を得られる傾向にあります。また、繰り返されるXSSエラーに頭を抱える時間も少しずつ減っていくはずです。

開発者がより安全なコーディングを実現できる環境を整える必要があります。

多くのエンジニアにとって、高等教育でセキュアコーディングを学ぶ機会は、皆無に等しいのが現状です。 それは彼らが学生時代に遊び呆けていたからではなく、単に多くのコンピュータサイエンスやIT関連の学位課程において、それがカリキュラムに含まれていないからです。

そのため、開発者がソフトウェアセキュリティの技術に初めて触れるのは、多くの場合、就職後の実務研修となります。しかし、その内容が意欲をかき立てるようなものであることは稀です。退屈なビデオを何時間も見せられたり、形だけのコンプライアンスチェックをこなしたりするだけでは、開発者がセキュアコーディングを習得する助けにはなりませんし、組織内の一般的な脆弱性を減らすことにもつながりません。

AppSecチームも開発チームも多忙を極めているため、トレーニングは有意義で、魅力的で、実践的なものであるべきです。開発のバックグラウンドを持つ身から言わせれば、私たちは問題を解決し、実際に手を動かすことを好みます。そのため、座学中心のトレーニングはほとんど身にならず、私たちはより差し迫った（あるいは正直に言って、より興味深い）作業に集中してしまうのです。

影響力を持つAppSec専門家は、開発者の利益を代弁することで、長期的なWin-Winの関係を築くことができます。業務に関連し、開発者が普段使用している言語やフレームワークに対応した実践的なトレーニングを導入することは、組織内に草の根的なポジティブなセキュリティ文化を醸成するための大きな一歩となります。私たちは何十年も同じことを繰り返してきましたが、「万人に同じものを」というトレーニング手法が通用しないことは明らかです。適切なツールと知識を開発者に提供することで、彼らはセキュアコーディングのスキルを向上させ、高いセキュリティ意識を持って、より高品質なコードを生み出せるようになるはずです。

認識を共有するための努力は、双方から行わなければなりません。

目標が異なれば、互いに誤解が生じたり、最悪の場合、不信感を抱いたりすることは珍しくありません。AppSec（アプリケーションセキュリティ）の目標は、次々と生み出される膨大なコードに対応し、データ侵害や不正アクセス、さらには長年にわたって築き上げた顧客からの信頼を失墜させかねない悪意ある攻撃につながるセキュリティ上の欠陥を見つけ出すことです。

Developers, among other things, build features to deadline. They are tasked with making software functional and beautiful, and being the creators of unique digital experiences that keep customers loyal. They’ve already got a lot to juggle, and pitching them a curveball in the shape of responsibility for security is a daunting prospect. It’s seen as AppSec’s problem to secure the code, and while that was somewhat achievable in the 90s (you know, before our cars could be hacked, and our entire lives could be carried around in a pocket supercomputer called a smartphone) there is simply too much code and not enough people to run it through the security gauntlet.

相手への深い理解と、ソフトウェア開発の初期段階からセキュリティを優先できる環境があれば、AppSecと開発者は目標を一致させることができます。結局のところ、健全なセキュリティ文化はそこにかかっています。サイバーセキュリティ人材が慢性的に不足している現在においても、セキュリティ意識の高い開発者こそが、一般的な脆弱性を防ぐための鍵となるのです。ever-widening cybersecurity skills shortage。

互いの時間を尊重することは、計り知れないメリットをもたらします。

前述の通り、誰もが素晴らしいソフトウェアという「魔法」を生み出すために多忙を極めています。開発者がセキュアコーディングのスキルを習得するための実践的なトレーニングには、業務時間内での割り当てが必要です。また、トレーニングプログラムは、その目的において極めて関連性の高いものであるべきです。

AppSecは同じ OWASP Top 10 の脆弱性を繰り返し修正することに時間を浪費し、開発者は関心の薄いトレーニングに時間を奪われ、セキュリティは面倒な作業だという認識を強めてしまいます。

厳選された学習体験は不可欠です。必要な瞬間に、 文脈に沿った短時間のトレーニング を提供することで、効率的に学習を進めることができます。

目指すべき成果や社内の学習パスに合わせてセキュアコーディングコースをカスタマイズすれば、開発者の時間とワークフローを尊重しつつ、ビジネスにおける脆弱性やサイバーセキュリティリスクを確実に低減できます。これは、両者の対立を解消し、予測不能なサイバーセキュリティの世界に一丸となって立ち向かうための近道となります。

Secure Code Warriorの最新の文脈学習機能である Courses が、現在ご利用いただけます。

‍