開発者にはセキュアコーディングを学ぶ動機がある…では、なぜ学ばないのでしょうか。

セキュアコーディングを学ぶ際、開発者の主な動機は何でしょうか。また、それをどのように活用すれば、効果的なアプリケーションセキュリティプログラムを設計・実装できるのでしょうか。2020年、Secure Code WarriorはEvans Data Corp.と共同で、セキュアコーディング、セキュアなコードの実践、およびセキュリティ運用に対する開発者の意識に関する調査を実施しました。‍

調査によると、開発者はセキュアコーディング研修の価値を認めています。また、開発マネージャーの80%が、セキュアコーディングのスキルを持つ開発者を採用したいと回答しています。これほど需要が高いにもかかわらず、なぜセキュリティの訓練を受けた開発者が不足しているのでしょうか。

開発者の意欲不足が根本的な問題ではないようです。開発者には意欲があり、セキュアコーディング研修を学ぶ動機について尋ねたところ、次のような回答が得られました。

• 35%が会社に関連する懸念を理由に挙げました
• 24%が個人的な理由で意欲的でした
• 41%が個人的な動機と会社側の動機の両方で意欲的でした。
  

さらに詳しく掘り下げたところ、セキュアコーディング研修に対する個人的な動機の上位5つは以下の通りでした。

1. 生産性と効率の向上
2. 好奇心・個人的な関心
3. セキュアでないコードに起因する問題の回避
4. キャリアアップの可能性
5. 人的リソースのより効率的な活用

会社側の動機を考慮すると、開発者はセキュアコーディングの実践がどのように生産性を高めるかを理解しています。マネージャーは、セキュアコーディングの実践が人的リソースの効率的な活用につながることを認識しています。地域によって動機は異なりますが、世界規模で見ると、生産性と効率の向上を求める声が常に共通しています。
‍

‍

とはいえ、開発者がセキュアコーディングを学ぶ動機は、雇用主の要求といった外部要因だけではありません。多くの場合、自発的な決断です。開発者は自分が作るものに愛着を持ち、誇りを持っています。開発者がセキュアコーディングを学ぶ理由の上位4つを見るとそれがわかります。25%の開発者が会社に価値を提供したいと答える一方で、同率でコードの品質を高めたいと回答しています。また、職場での評価や認知を重視する声もあります。70%が、セキュアなコードを書いた際に会社から評価されると回答しています。前述の通り、開発マネージャーの80%が、セキュアコーディングのスキルを持つ開発者の採用を望んでいます。

開発者に意欲があるのなら、なぜもっと積極的に取り組まないのでしょうか。

セキュリティスキルを持つ開発者がこれほど高く評価され、学ぶ意欲もあるのに、なぜ人材が不足しているのでしょうか。

見てきたように、開発者にはセキュアコーディングのスキルを高める明確な理由があるにもかかわらず、既存のセキュリティ研修の多くには消極的です。自ら進んで受講する人はほとんどいません。この調査に基づき、答えは比較的単純だと考えています。現在のセキュアコーディング研修は、開発者がセキュアコーディングに惹かれる重要な要素を十分に満たしていないため、不十分なのです。

それぞれの要素を見ていきましょう。

「価値と効率の向上」および「コードの品質向上」に関して、開発者にはセキュアコーディングを日々のプロセスに組み込める研修が必要です。コーディングの初期段階から脆弱性を特定し、修正するスキルが求められます。最大限の関連性と即時性を確保するためには、日常的に使用している言語やフレームワークを用いた研修であるべきです。従来の研修手法ではこれが実現できず、多くの開発者が退屈で無関係だと感じています。

セキュアコーディング変革の推進者として、Secure Code Warriorは開発者にとって前向きで魅力的な体験を提供します。私たちは、開発者が学びたいと思えるような研修が必要だと考えています。そのためには、実践的でインタラクティブ、かつ業務に関連したシミュレーションや課題が必要です。これにより、参加者は最初からセキュリティ機能をコードに組み込むようになります。この開発者中心のインタラクティブな研修アプローチは、開発者の学習意欲をアプリケーションセキュリティプログラムの中心に据えるものです。仕組みの詳細については、今すぐデモをご予約ください。

‍

‍