開発者トーナメント：セキュリティ文化とエンゲージメントを向上させるAppSecの秘密兵器

ゼロから何かを作り上げ、自分のスキルと経験を駆使して、世界に小さくても特別な足跡を残すことを想像してみてください。一人であれチームの一員であれ、あなたは無から有を生み出すために心血を注ぎます。何百、あるいは何千時間もの歳月を費やし、自分の「子供」を最高の状態に仕上げようと努力します。完成したとき、その達成感はそれ自体が報酬のように感じられるはずです。

では、そこに水を差すような人物が現れて、「それは大したものではない」と言われたらどうでしょう。さらに一歩踏み込んで、あなたが費やしたエネルギー、時間、愛情を無視して、「そもそも使えない、壊れている」とまで言われたら。つまり、あなたの「子供」は醜いと言われたも同然なのです。

このような状況は、必然的に緊張を生みます。苦労して作り上げたものを否定され、不十分だと決めつけられて、穏やかでいられる人がいるでしょうか？悲しいことに、多くの開発者にとって、これがAppSec（アプリケーションセキュリティ）チームとの関係の現実です。開発者の主な責任は、機能的でリッチなソフトウェアを厳しい納期内に納品することです。セキュリティは優先順位が低く、迅速なデリバリーやイノベーションを阻害するものと見なされることさえあります。一方、AppSecチームは、コードを細かくチェックし、ペネトレーションテストを行い、そして「すでにコミットされたコードに脆弱性がある」という悪いニュースを報告するという、気の重い役割を担っています。リソースや時間が限られた環境において、これはコストのかかるプロセスであり、同じ目標を持ちながらも、あまりに異なる言語を話すために互いに反目し合うという、両チームの間に亀裂を生む構造になっています。

セキュリティのあり方を一新する時期が来ていると思いませんか？それは、対話の内容を変え、双方にとって、特に開発チームにとって、すべてをもう少しポジティブに（そして何より楽しく！）することと同じくらいシンプルなことです。

教室からゲームアリーナへ

多くの開発者が、安全なコーディングをほとんど学ばないまま職業訓練を終えているため、セキュリティ教育に初めて触れるのは就職後というケースが少なくありません。教室での研修はよく使われる解決策ですが、機能開発の貴重な時間を奪ってしまいます（それに、講師や内容が刺激に欠ける場合、誰にとっても忘れ去られる時間の無駄になりかねません）。他にもビデオコースやペーパーテスト、一般的な企業セキュリティポリシー教育などがありますが、どれも一般的すぎて、平均的な開発者の日々の業務には役に立たないことが多いのです。

多くの場合、これらは「チェックボックスを埋めて終わり」のコンプライアンス演習として扱われ、逆効果になることさえあります。AppSecチームと開発チームの間の溝を広げるだけなのです。結局のところ、従来の研修が、業界が切望しているようなセキュリティ文化やコンプライアンスの向上に寄与しているようには見えません。私たちは同じ過ちを繰り返しています。

Common Weakness Enumeration（CWE）コミュニティによると、対策すべきソフトウェアセキュリティの弱点は700以上存在します。SQLインジェクションのように、20年以上経っても駆除しきれないゴキブリのような弱点もあります。私たちは修正方法を知っており、開発者がそれを防ぐためのトレーニングも存在します。それにもかかわらず、ペネトレーションテストや手動のコードレビューでは、こうした違反が絶えず発見されています。

おそらく私たちは見方を間違えていたのでしょう。業界として、教育のあり方を別の角度から捉え直す必要があります。開発者が大切にしている素晴らしいスキルを活かすのです。彼らは創造的で探究心があり、課題を解決することを愛する人々です。セキュリティトレーニングをゲーム化することは、彼らの言語で語りかけることであり、実践を通じて学べるようにすることです。そうすれば、いつの間にかセキュリティの虜になっているかもしれません。

健全な競争を少しだけ

（不正確な）ツールへの過度な依存、高額なペネトレーションテスト、そして不足しているAppSecスペシャリストに頼り続けることは、私たちをセキュリティのブラックホールへとさらに深く沈めていくでしょう。私たちの生活やプライバシーの多くがオンライン上に存在する今、企業がデータを守る仮想の要塞に対して無防備でいることは許されません。デジタルトランスフォーメーションによってソフトウェアへの依存度が高まる中、私たちは最初からオフィスにいたスーパーヒーロー、つまり開発チームに目を向ける必要があります。

関連する言語やフレームワークを用いたゲーム化されたトレーニングは、AppSecマネージャーがビジネス内のセキュリティ文化を変革し始めるための強力なツールです。トレーニングを通じて、開発者は新しく身につけたセキュリティの筋肉を、楽しいトーナメント形式で発揮できます。その興奮は想像力次第でどこまでも広がります。例えば、IAGの「Game of Codes」が、組織内で誰もがセキュリティについて語り合うきっかけを作った様子をご覧ください。

Secure Code Warriorのトーナメントモジュールは、単なるトレーニングの締めくくり以上の役割を果たします。これは、各開発者が自分のスキルを検証し、トレーニング開始時からどれだけ成長したかを確認し、改善が必要な領域を特定するためのプラットフォームです。競争という側面は、セキュリティに前向きに取り組むための強力なモチベーションとなり、報酬や評価を通じて、チームや組織全体に強固なセキュリティ文化を育む助けとなります。

退屈で、時には気が遠くなるようなタスクに少しの楽しさを加えることは、ネガティブな考え方を変え、継続的な参加を促す上で大きな効果があります。（健全な）競争環境の中で、同僚よりも高いスコアを出すという栄光を嫌う人がいるでしょうか？

あなたのそばにいるチャンピオンたち

ゲーム化されたトレーニングとその後のトーナメントは、ポジティブなセキュリティ文化を推進する上で非常に役立ちます。AppSecチームと開発チームは、互いの日々の業務についてより深い洞察を得られるようになります。安全な開発者は貴重な資産であり、一般的な脆弱性を修正することで、複雑な問題だけを現場の数少ないAppSecスペシャリストに任せることができます。より良い関係が築かれ、同じエラーを何度も繰り返す「恋はデジャ・ブ（Groundhog Day）」のような状況に貴重なセキュリティ予算が食いつぶされることもなくなります。

さらに、もう一つの強力な副産物があります。それは、これまで気づかなかったセキュリティチャンピオンの発見です。トーナメントは、セキュリティの適性があるだけでなく、情熱を持って取り組む人材を明らかにします。こうしたチャンピオンは、勢いを維持し、チーム間の連絡窓口として機能し、同僚を監督し、ベストプラクティスを遵守させるために不可欠な存在です。評価や経営陣のサポートを含む強固なチャンピオンプログラムを導入することは、組織にとっての誇りであり、個人にとっても履歴書や将来のキャリアにおいて強力な武器となります。

結論として、私たちはセキュリティテストにおいてより良い成果を追求しなければなりません。単純なミスを減らし、現場の担当者をより強力にサポートするのです。開発者トーナメントを活用して、目標を早期に達成する方法を検討してみませんか？