コンテキスト重視の実践型学習：セキュリティ脳を鍛える最強のトレーニング法

残念なお知らせがあります。

従来のトレーニングは、もう時代遅れです。

正確には「死んだ」わけではありませんが、そうなるべき時が来ています。教室に人を詰め込んで新しいことを学ばせたり、コンプライアンス研修を消化させたり、再教育を行ったりすることが、教育として最も非効率な方法であることは、数々の研究で繰り返し証明されてきました。企業研修においても、その統計は改善されていません。ハーバード・ビジネス・レビューが発表した研究によると、大企業の新入社員に対する教室型研修の有効性を調査した結果、新入社員が即戦力として活躍できるようになるまでに平均で8〜12ヶ月を要することが判明しました。これは、個人のスキルを最大限に活用するまでに非常に長い時間がかかることを意味します（新入社員にとっても、慣れるまでに時間がかかりすぎるということです）。今日、多くの企業にはそんな余裕はありません。結局、どこかで妥協が生じ、必要なトレーニングが行き届かず、本来もっと早く得られたはずの大きな価値を企業が失うことになります。

多くの企業が、社内のベストプラクティスや新しい取り組みを優秀な人材に浸透させるために、いまだに教室での講義や退屈な教科書、そして思考を停止させるようなビデオ研修に頼っているのは驚くべきことです。しかし、それよりもはるかに効果的で、魅力的で、価値のある学習方法が存在します。それが「コンテキスト型トレーニング」です。結局のところ、人間は新しいアイデアやプロセスを実際に体験しながら学ぶ方が、はるかに情報を定着させやすいのです。

さて、開発者という人種は少し特殊です。私自身も開発者として経験してきましたが、従来のトレーニングでモチベーションが上がることはまずありません。開発者は創造的で機知に富んだ問題解決者であり、教室で講義を受けたり、延々と続くビデオを見せられたりするよりも、実際にツールを触ることを好みます。特にセキュリティトレーニングに関しては、現状に明らかな乖離があります。開発者がコード内の一般的な脆弱性に対処できていないため、AppSec（アプリケーションセキュリティ）の専門家は、同じ修正容易な問題を何度も繰り返されることに頭を抱えています。両チームの関係は悪化し、開発者はセキュアな開発のベストプラクティスを実践するための適切なツールやトレーニングを与えられていません。彼らの主な目的は機能開発ですが、あらゆる企業でサイバーリスクが急速に高まっている今、セキュリティ知識を軽視し、優先順位を下げることはもはや許されません。

そして、何より素晴らしいのは、開発者がセキュリティ意識を持つようになれば、一般的な脆弱性が自然と消えていくことです。リスクが軽減され、開発の最終段階でバグを修正するコストも削減されます（そして、AppSec担当者が頭を抱えることもなくなるでしょう）。

では、開発者を巻き込む「コンテキスト型トレーニング」とは、具体的にどのようなものでしょうか？

実世界の例を用いることは、驚くほど強力です。

もし私たちが車の運転をYouTubeの動画だけで学ばなければならないとしたらどうでしょう。車の仕組みや、車を動かすための一連の動作は理解できるかもしれませんが、実際に車に乗り込んで練習してみない限り、上手に運転できるようになることはまず不可能です。

コンテキスト型トレーニングが価値ある理由は、学習者を「運転席」に座らせるからです。現実世界の文脈で学ぶことで、学習はより魅力的で意味のあるものになります。

セキュアコーディングを例に挙げると、動画を見てSQLインジェクションの基礎を理解することは誰にでもできます。しかし、納期が迫り、機能開発が優先される状況では、問題を解決するための具体的な手順はすぐに忘れ去られてしまいます。もし、実際のコード例を確認し、インジェクション箇所を特定して、トレーニングの一環として修正することができれば、それは一方的な情報の受け取りよりもはるかに開発者の日常業務に直結します。また、普段自分が書いているコードに近いものを見れば、開発者も関心を持ち、真剣に取り組むようになるはずです。

私たちはSecure Code Warriorプラットフォームにおいて、セキュアコーディングのトレーニングをゲーミフィケーション化し、多様な言語やフレームワークに対応した幅広い課題を提供しています。このシステムは繰り返しプレイを促進し、何よりも、真のコンテキスト型学習に最適な環境を即座にカスタマイズできる点が特徴です。

最も役立つタイミングで知識を提供する

コンテキスト学習理論によれば、効果的な学習とは、学習者が新しい情報や知識を、自分自身の個別の参照枠組みの中で意味のあるものとして処理した時にのみ発生します。

開発者がバグバウンティプログラム、SASTツール、バグ追跡ソフトウェアなどからセキュリティ脆弱性のリストを受け取った場面を想像してみてください。もしその脆弱性に馴染みがなければ、困惑し、圧倒されてしまうかもしれません。さらに悪いことに、ほとんどのレポートはアプリケーションセキュリティの専門家向けに作成されており、開発者向けではありません。レポート内の情報は解析が難しく、開発者に直接適用できない一般的なアドバイスが含まれていることがよくあります。

私たちは最近、バグバウンティプログラム、SASTツール、バグ追跡ソフトウェア、ペネトレーションテストのレポートから、脆弱性に関する実践的なトレーニングへ直接リンクできる機能を追加しました。これにより、開発者は即座に基礎を理解し、自身のフレームワークに適した優れたコーディング手法を学ぶことができます。

このような学習方法をとることで、開発者は最も関連性の高いタイミングで知識やトレーニングを受け取ることができ、長期的な情報の定着率も大幅に向上します。

より迅速な成果、業務への影響を最小限に、そしてチームの満足度向上を。

どのようなトレーニングであっても、日々の業務と直接結びついたコンテキスト（文脈）がある方が、一般的な知識を当てはめようとするよりもはるかに効果的です。「学習モード」に費やす時間を減らせるだけでなく、答えが必要なときに「学んだはず」の内容をわざわざ見直すといった非効率な作業も防げます。

コンテキスト重視のトレーニングの原則の一つは、知識を積み重ねることにあります。トレーニングの各要素が前のステップを補完し、段階的に習得へと導く道筋を作ります。当社のプラットフォームでは、空手道場のような帯制度を採用しています。全員が白帯からスタートし、必要なトレーニング時間とトーナメントへの参加を経て、憧れの黒帯、つまり「セキュリティチャンピオン」レベルへと昇格していきます。これは、実用的な価値を備えた楽しく取り組めるアプローチです。

優秀な人材を維持し、セキュリティ意識を高く保ちたいとお考えですか？それなら、彼らが成功するためのツールを提供しましょう。

残念なことに、現在、セキュリティ意識の高い開発者やアプリケーションセキュリティの専門家は、極めて貴重な（そして不可欠な）リソースであり、定着させるのが非常に難しいという現実があります。

Cybraryが2018年に3100人のITおよびセキュリティ専門家を対象に行った調査によると、優秀な従業員を維持するための鍵は、トレーニングへの投資にあることが明らかになりました。社内のセキュリティスキルを育成するためのツールとトレーニングを提供している企業は、そうでない企業に比べてセキュリティ専門家の定着率が60%高く、回答者の65%が実践的なトレーニングを好むと回答しています。素晴らしい結果だと思いませんか？

しかし、この調査結果は驚くべき事実も示しています。回答者の80%が、組織をサイバー脅威から守る準備が十分にできていないと感じているのです。脅威は消えることはなく、データ侵害や攻撃による甚大な被害リスクに対抗するためには、適切なトレーニングがこれまで以上に必要とされています。私個人の意見かもしれませんが、Secure Code Warriorのプラットフォームこそ、ポジティブなセキュリティ文化を醸成し、開発者のスキルアップを支援し、組織を脅威から守るために必要なツールとなるはずです。デモをリクエストして、詳細をご覧ください。