上司を説得してセキュアコーディング研修への投資を勝ち取る方法

開発者、QA、エンジニアリングリード、AppSecプロフェッショナルなど、ソフトウェアに関わる仕事をしているのであれば、セキュリティは業務の一部と言えます。ソフトウェアの脆弱性を指摘するのがセキュリティチームの役割であり、そもそも欠陥のないコードを書くために最善を尽くすのが開発者の役割です。しかし、これらの業務を可能な限り効率的かつ効果的に遂行するためには、アプリケーションの基盤となるコードから始まり、あらゆる関係者が協力してセキュリティの脅威に対抗することが重要です。

セキュアコーディングの学習と知識の定着は、一見すると非常に困難に思えるかもしれません。しかし、適切なツールがあれば、決して難しいことではありません。とはいえ、ステークホルダーや上司を説得して適切なトレーニングへの投資を促すのは、必ずしも容易ではないでしょう。トレーニングは、コンプライアンス要件を満たすためだけに選ばれることが多く、開発者の日々の業務とは無関係である場合がほとんどです。もし、開発者が日常的に使用している言語やフレームワークで、リアルタイムにセキュリティを学び、楽しみながらスキルアップできるとしたらどうでしょうか？さらに、組織が業界標準に準拠することも同時に実現できるとしたら？

私たちにお任せください。開発者向けのセキュアコーディングトレーニングプログラムを導入するために、同僚やリーダー、そして最終的な意思決定者から賛同を得るための戦略をご紹介します。

ソフトウェアの脆弱性を未然に防ぐことは、計り知れない時間とコストの削減につながります

繰り返し発生するセキュリティ問題の発見、報告、修正に多くの時間を費やしていませんか？それはあなただけではありません。

次のようなシナリオを想像してみてください。AppSecチームが脆弱性を発見して開発チームに報告すると、開発者はすぐに関連するトレーニングレッスンに取り組み、その欠陥の修正方法だけでなく、将来同じミスを繰り返さない方法まで学びます。その結果はどうなるでしょうか？開発者はその関連性の高さからレッスン内容を記憶しやすく、同じエラーを繰り返す可能性は低くなるはずです。つまり、セキュリティチームで働くあなたにとって、脆弱性を知らずに作り込んでしまう開発者が一人減り、同じ開発者が修正作業に追われることもなくなるのです。

当社の顧客であるContrast Securityが、開発チームにとってリアルタイムトレーニングがいかに強力であるかを語る動画をぜひご覧ください。

すべての開発者が定期的なセキュアコーディングトレーニングに参加し、セキュリティ問題をリアルタイムで学習できるツールをすぐに利用できるようになれば、素晴らしいソフトウェアの開発やセキュリティプログラムの推進に充てられる時間は計り知れません。組織がそのようなツールに投資する十分な理由になると思いませんか？

セキュリティスキルを向上させるための素晴らしいツール、例えば（おっと）Secure Code Warriorのようなツールを見つけたなら、それは組織のCISOやCTOに提案するための強力な材料になります。

開発者が力を発揮できれば、より良い成果が生まれ、満足度も向上します

経営陣にとって時間とコストは非常に重要ですが、従業員の満足度も同様です。満足度の高い従業員はより良い成果を出し、長く働き、ポジティブな職場環境に貢献します。だからこそ、キャリア形成やトレーニングは「コスト」ではなく「投資」なのです。しかも、そのトレーニングが楽しく、実務に関連した内容であれば、成功への近道となるでしょう。

幸いなことに、開発者は自身の仕事においてセキュリティがいかに重要かを理解しており、学習意欲が高い傾向にあります。Evans Data Corporationとの共同調査で世界中の開発者にアンケートを行ったところ、開発者がセキュリティを学びたいと考える理由は以下の通りでした。

1. 生産性と効率が向上するため
2. 好奇心があり、個人的に興味があるため
3. 安全でないコードに関連する問題を回避したいため
4. キャリアアップにつながると理解しているため
5. 人的リソースのより効率的な活用になるため
   

（ホワイトペーパーの全文ダウンロードはこちら）

The only problem is that most secure coding training is letting them down. It’s not relevant to their daily work and, let’s face it, it’s downright boring. Those are features that don’t usually deliver good results in terms of retaining information and actually learning. When the learning platform is developer-centric, fun and engaging, and relevant to their work, however, it can deliver real results and create empowered individuals who want to write secure code. And why would your boss, be it a development lead or a CISO or CTO not want developers to be interested in coding securely and have the skills to do so?

セキュリティへの理解は、エンジニアとしての総合力を高めます

エンジニアがソフトウェアの脆弱性を理解していれば、それを念頭に置いて業務に取り組むようになります。何が問題になり得るかを理解すればするほど、予防的なアプローチで仕事ができるようになります。

それだけでなく、品質の低いコードには脆弱性が含まれやすく、開発者が知らず知らずのうちに脆弱性を混入させてしまう可能性も高まります。なぜなら、開発業務の多くはコードの読み書きや修正だからです。コードの構成が整理されておらず、論理が不明瞭であれば、作業に時間がかかるだけでなく、修正の際に誤って重大なセキュリティバグを混入させてしまうリスクも高まるのです。

セキュリティへの理解を深め、問題を回避する方法を学ぶことは、コード全体の品質向上にもつながります。バグを未然に防ぐための書き方を意識するようになるからです。セキュリティトレーニングは、開発者がセキュアコーディングを習得できるだけでなく、エンジニアとしてのスキルアップも図れる、双方にとって有益な取り組みです。

数には力がある

セキュアコーディング学習プラットフォームの導入に向けてリーダー層の承認を得るには、同僚を味方につけるのが効果的です。セキュリティスキルの向上に関心を持つ開発者が増えれば、経営陣や役員層への投資交渉もスムーズに進みます。

では、具体的にどうすればよいのでしょうか。セキュリティスキルの向上を望む開発者は多いため、それほど難しいことではありません。まずは、こちらの Secure Code Warriorの開発者向けショーケース を同僚に見てもらい、製品を体験してセキュアコーディングのスキルを試してもらいましょう。脆弱なコードがもたらす影響を実感し、セキュリティ学習が楽しいものだと分かれば、彼らの学習意欲は自然と高まるはずです。

適切なツールを導入したら、健全な競争を取り入れて開発者の意欲を引き出しましょう。トレーニングプログラムの開始時にトーナメントを開催するのがおすすめです。

Nelnet社がどのようにトーナメントを工夫し、社内のセキュリティ文化を醸成したかをご覧ください。

継続的なセキュリティトレーニングが望ましい企業文化を育む

トレーニングは退屈である必要はなく、本来そうあるべきではありません。講義形式の研修はコストがかかり、特に分散型チームでは実施が困難なうえ、学習効果も限定的です。しかし、多くの組織では、コンプライアンス対応の「チェックボックスを埋めるためだけ」のトレーニングが続いています。現状維持では不十分です。開発マネージャーとAppSecチームが連携し、継続的で魅力的な学習を促進するツールを導入すべき時が来ています。まずは、意思決定者を説得することから始めましょう。

継続的かつ実践的なトレーニングが必要な理由はいくつもあります。サイバー脅威は絶えず進化しており、それに対抗するためのトレーニングも継続的であるべきです。また、前述の通り、リアルタイムで学ぶ方が記憶に定着しやすくなります。1年前にスライドで見ただけの知識を開発現場で思い出すのは非現実的です。しかし、脆弱性が報告された瞬間にその回避策をゲーム感覚で学べれば、学習効果は劇的に変わります。

実践的で関連性の高いトレーニングを導入すれば、セキュリティは後付けの作業ではなく、企業文化の一部となります。ソフトウェア開発ライフサイクルの初期段階から、セキュリティが自然と組み込まれるようになるのです。

さあ、今すぐ始めましょう。組織のセキュリティを強化し、重要な企業データや顧客データを守るための第一歩を踏み出してください。開発者や上司を巻き込み、組織のセキュアコーディングを次のレベルへ引き上げましょう。セキュリティを最初から意識することで、同じ脆弱性の繰り返しに終止符を打つのです。

その他のリソースはこちら‍

「CISO/CTOを説得するためのキット」をダウンロードする