チャンピオンとコーチ：開発チームに両方が必要な理由

「チャンピオン」や「コーチ」という言葉は、スポーツの世界を超えてその重要性を増しており、多くの場面で強力な存在感を放っています。ライフコーチ、ウェルネスコーチ、エンパシーコーチなどが存在する中、多くの組織で「セーフティチャンピオン」や「バイブチャンピオン」といった肩書きが主流となり、ビジネスの精神や文化に深く根付いています。困難な状況に直面したとき、自分を支えてくれるコーチやチャンピオンがいてほしいと思わない人はいないでしょう。

サイバーセキュリティ業界の組織には、開発レベルでセキュリティの重要性を広め、ソフトウェアセキュリティの基準を高めるためにチャンピオンを活用してきた長い歴史があります。BSIMMでは彼らをサテライトグループと呼び、OpenSAMMやAxwayなどは、セキュリティチャンピオンをコンセプトおよび公式プログラムとして支援する先駆的なグループです。これらの取り組みは、DevSecOpsムーブメントの主要な目的の一つである「ソフトウェア開発プロセスの初期段階から、チームや機能全体でセキュリティの責任を共有する」というコミットメントと交差し、それを支えています。

サイバーセキュリティへの取り組みで成果を上げている多くの企業は、公式なセキュリティチャンピオンプログラムを導入しています。この役割には、チーム間の連携や士気の向上から、ベストプラクティスの監督に至るまで、重要なセキュリティ責任が伴い、適性と情熱を持った人材が任命されます。

しかし、「セキュリティチャンピオン」の役割が変化していることは明らかです。先見の明のある企業は、熱意ある人材がそれぞれ重要かつ異なる機能を担うことで、拡張性の高いセキュリティベストプラクティスを新たな高みへと引き上げることができます。

私たちは、将来にわたって通用するセキュリティプログラムを実現するために、セキュリティチャンピオンの定義を見直し、その役割を拡充しています。さあ、あなたの次の「ドリームチーム」を構築する準備はできていますか？

偉大なチームの背後には、必ずインスピレーションを与えるコーチの存在があります。

リオネル・メッシ、マイケル・ジョーダン、セリーナ・ウィリアムズといった選手を思い浮かべるとき、彼らのコーチの名前を即座に挙げられるのは熱心なファンだけかもしれません。しかし、スポットライトを浴びる彼らの圧倒的な成功を支えているのは、彼らの天賦の才能や意欲を磨き上げ、目標へと導く、身近な存在であるコーチなのです。

開発者がグランドスラムを達成したり、アルゼンチン代表としてゴールを決めたりすることを期待する人はいません。同様に、開発者にセキュリティの専門家になることを期待すべきではありません（彼らは素晴らしい機能を作るために雇われたのであって、セキュリティの深淵に潜るためではないのです）。しかし、優れたセキュリティ「コーチ」は、チームにとって真のチャンピオンとなります。

開発者側のセキュリティチャンピオンは、私たちが認識する「コーチ」の基本概念に非常に近い存在です。彼らはセキュリティに情熱を持ち、知識が豊富で、開発者がセキュリティ上の課題に直面した際の重要な相談相手となります。彼らは実践的なノウハウで問題を解決し、そこから学ぶ手助けをすると同時に、チームがセキュリティのベストプラクティスや価値観を共有できるよう導きます。

AppSecチャンピオンの皆さん、立ち上がってください。

AppSec（アプリケーションセキュリティ）側のチャンピオンは、セキュリティプログラムというパズルにおいて、しばしば欠けているピースです。彼らは開発チームの成功に不可欠であり、経営層と開発者の架け橋として、開発者を代弁し、脆弱性の低減、ソフトウェアの安全性、そして顧客の信頼と満足度を向上させるために必要なツールを提供します。

優れたAppSecチャンピオンは、ビジネスにおけるセキュリティリーダーとして認識されています。彼らはセキュリティコーチを直接育成する上で大きな役割を担うべきであり、その最終目標は、チーム間の関係性と成果を向上させ、「最高に堅牢で安全なコード」という共通のゴールを達成することにあります。

あなたの「スーパーコーチ」を呼び覚ましましょう。

チャンピオンと優れたコーチは二人三脚であり、協力することで魔法のような成果を生み出します。既存のセキュリティチャンピオンプログラムは開発者に焦点を当てがちですが、私たちが特定したように、真のチャンピオンシップはAppSec側にあるべきです。そうすることで、セキュリティ意識の高い情熱的な開発者が、チームの底上げを図りながら、安全なコーディングの卓越性を追求できるようになります。

理想的なコーチを見つけるプロセスは、従来のチャンピオン探しと似ています。最高のコーチとは、単にセキュリティに「最も詳しい」人ではありません。セキュアなコーディングに長け、高品質で堅牢なコードを次々と生み出せる人であっても、本業以外の役割を担うことに興味がなかったり、適性はあってもセキュリティに情熱を感じていなかったりする場合があるからです。

代わりに、次のような特徴を持つ人を探すことで、あなたのチームのコーチが見つかるかもしれません。

• サイバーセキュリティに強い関心を持ち、実践的なコーディングから最新のインシデント、ツール、技術動向の把握までを怠らない人
• 優れた対人スキルを持ち、他人を助けることを好み、頼られる存在（社内の専門家）であることに喜びを感じ、チームプレイヤーとして親しみやすい人
• 開発者側の代弁者として主体的に動ける人。チームに必要なものを理解し、AppSecの担当者（チャンピオン）と連携してニーズを満たし、相互のセキュリティ成果を達成できる人。

コーチというポジションにインセンティブを与えましょう。誰を選んだとしても、その人は必ず責任が増すことになるため、それに応じた業務負荷の評価が必要です。個人の関心やキャリアアップもモチベーションの要因になりますが、成果を上げた際にどのように報いるかを明確にしておくことが重要です。素晴らしいカンファレンスへの参加を支援したり、特別休暇を与えたり、研修や資格取得の費用を負担したりすることはできないでしょうか。SDLC（ソフトウェア開発ライフサイクル）の初期段階からセキュリティを確保するために費やす時間とコストは、後の工程で脆弱性が発見された場合と比べて、はるかに大きな節約になります。優れたコーチは、チームの意識を高く保ち続けてくれます。意味のある報酬を提供する方法を見つけ出してください。

次世代のセキュリティチャンピオンプログラム。

業界全体として、開発者を支援し、セキュリティという「ダークサイド」へ引き込む努力が不可欠です。つまり、品質の高いコードとはセキュアなコードであると認識してもらう必要があります。教育や成功のための環境が整っていなければ、関心を持つのは困難です。残念ながら、セキュアコーディング教育の現状はまさにそこにあります。実践的で関連性の高いスキルアップに加え、ピアコーチとAppSecアドボケイトの存在こそが、開発チームの防御力を最大限に引き出すための「三種の神器」なのです。