DACH地域におけるDevSecOps：セキュアコーディング・パイロットプログラムから得られた主要な知見

サイバーセキュリティのベストプラクティスは10年以上前から注目を集めており、世界中の多くの地域で政府レベルの議論が頻繁に行われています。サイバー攻撃は今や日常的な現実であり、価値ある個人情報をオンラインで保存しているあらゆる組織が標的となり得ます。ドイツだけでも、連邦教育研究省は中小企業の96%がすでにITセキュリティインシデントを経験していると推定しています。同報告書は、サイバーセキュリティに関する研究、法整備、意識向上の緊急性を強調しており、コンピュータサイエンスやIT関連分野において、より強固なセキュリティトレーニングを組み込むことを明確に求めています。

GDPRの施行に加え、GDPR、ドイツ連邦政府のサーバーを含む多くの著名人の機密情報が流出した多段階攻撃を受けた後の戦略見直しにより、DACH地域のリーダーにとってサイバーセキュリティへの意識と行動が最優先事項であることは明らかです。2018年後半のハッキングは、比較的スキルが低い20歳の学生によって実行されましたが、機密情報への主なアクセスポイントは、単純なパスワード推測によるものでした。これは非常に懸念すべき認証の脆弱性でしたが、政府、企業、社会の各レベルでセキュリティ意識を大幅に向上させる必要性を浮き彫りにしました。2019年の報告書では、ドイツはサイバーセキュリティ防衛の取り組みにおいて遅れをとっており、法整備を主な戦術として頼っていることが指摘されました。しかし、理想的な開発手法としてDevSecOpsが登場したことで、多くの企業が実践的なトレーニング、セキュア・バイ・デザインによるソフトウェア開発、そして全社的なセキュリティ意識向上プログラムの必要性を認識するようになりました。

DACH地域におけるソフトウェアセキュリティの鼓動

OWASPやMITREのような組織は、OWASPやMITREは、最も頻繁に発生する脆弱性のデータ検証済みランキングを公開しています。すべての言語において、SQLインジェクションが第1位にランクされており、数十年前から存在するにもかかわらず、依然として一般的な欠陥であり、壊滅的な結果をもたらす攻撃によく利用されています。

スイスのBPC社のバンキングソフトウェア「SmartVista」は、SQLインジェクションの脆弱性についてSwissCERTから警告を受けましたが、クレジットカード番号を含む機密顧客情報を流出させる可能性があるにもかかわらず、数ヶ月間パッチが適用されませんでした。SQLインジェクションは、米国や英国の2017年の複数の政府機関や大学での侵害と同様に、危険な情報漏洩につながる可能性があります。これらのインシデントの多くは、入力バリデーションのプロセスが不十分であるために発生しており、攻撃者がアプリケーションのフロントエンドから悪意のあるコードを挿入することを許してしまっています。もう一つの一般的な脆弱性の原因は、セキュリティバグのチェックが行われていない安全でないベンダーコードを使用することであり、その結果、スキャン済みで安全とされた本番環境に欠陥が持ち込まれてしまいます。これらのアクセスポイントはDACH地域特有のものではなく、世界中でコードが生成される中で放置できない、不適切なセキュリティ慣行のグローバルな例です。

問題が発見されたら直ちにパッチを適用することが不可欠であり、SmartVistaの対応の遅れは惨事を招きかねないものでした。DACH地域でも侵害は発生していますが、セキュリティ意識とトレーニングに関するより的を絞ったガイドラインとサポートがあれば、組織レベルでの潜在的な問題を未然に防ぐことができたはずです。そのためには、開発者に対する評価に基づいたトレーニングを推進する、より具体的な法整備が必要となります。

すべてのセキュアコーディングトレーニングが同じように作られているわけではありません。

世界中の多くのサイバーセキュリティ指令は包括的なものになりつつありますが、効果的なセキュリティトレーニングの概要については依然として具体性に欠けています。EUのNIS指令には国家レベルでの「意識向上、トレーニング、教育」の要件が含まれていますが、開発者のスキルアップや組織変革を促進する重要な要素が欠けている場合、トレーニングソリューションを急いでも、目に見えるリスク低減という望ましい成果は得られない可能性があります。

教育ソリューションは多岐にわたりますが、トレーニングは開発者の日常業務に即したものである必要があり（好みの言語やフレームワークで学習できる能力を含む）、さらに魅力的で、時間の経過とともに測定可能でなければなりません。

コンピュータベースのビデオトレーニングのような静的なトレーニングソリューションは、汎用的すぎることが多く、コードが書かれる際に脆弱性が混入するのを防ぐための意識やスキルを向上させることに成功しているかどうかが再評価されることはほとんどありません。動的なトレーニングは、文脈に応じた例を用いて開発者のスキルを向上させるために不可欠であり、ビジネスの緩和プロセスに影響を与える指標を提供します。頻繁に更新され、高い知識保持率を促進し、職場での前向きなセキュリティ文化に貢献する、セキュリティ意識の高い開発者を育成する一環となります。

DACH地域のパイロットプログラムから得られたSecure Code Warriorのデータポイント：

Secure Code WarriorのセールスディレクターであるEma Rimeike（サイバーセキュリティ修士号取得）は、DACH地域の組織と緊密に連携し、開発者の社内セキュアコーディング能力、セキュリティベストプラクティスへの関与、およびビジネス全体のセキュリティ文化を評価するためのパイロットプログラムを実施してきました。ゲーミフィケーションを取り入れた動的なセキュアコーディングトレーニングを活用した彼女の重要な発見は、SDLCの初期段階から脆弱性を削減するために必要な知識とツールを開発者に提供することで、明るい未来が開けることを明らかにしています。

彼女はパイロットプログラム期間中、ユーザー1人あたり平均90分をSecure Code Warrior (SCW) プラットフォームに費やした統計を収集し、その中で15のセキュアコーディングチャレンジ（一口サイズでゲーミフィケーション化された、自分のペースで進められるレッスン）をプレイしました：

ユーザーが1つのチャレンジを完了するのにかかった平均時間は5.5分で、他のグローバルなSCWパイロットの平均3分と比較して長くなっています。

• 正確性と自信：DACH地域のパイロットプログラムでは、チャレンジの回答に対する自信の平均は88〜92%でしたが、回答の正確性は53〜66%にとどまりました。
• 調査に参加した参加者の75%以上が、コンピュータベースのトレーニング（CBT）のような静的なアプローチとは対照的に、ゲーミフィケーション化された（動的な）トレーニング方法を好んでいます。
• 最も頻繁に見られた脆弱性の中には、インジェクションの欠陥、セキュリティ設定の不備、クロスサイトスクリプティング（XSS）、不適切なプラットフォーム使用、アクセス制御、認証、メモリ破壊、クロスサイトリクエストフォージェリ、不十分なトランスポート層保護、および検証されていないリダイレクトと転送

DACH地域では、一般的に勤勉さと正確さが重んじられることは周知の事実であり、パイロットプログラムに参加した開発者たちも例外ではありません。こうしたデータは、彼らがこの種のトレーニングに不慣れであることを示している一方で、ゲームを続け、スコアを向上させ、利用可能な「ヒント」機能を使わずに課題をクリアしたいという意欲の表れでもあります。彼らの学習意欲と向上心は明らかですが、同時に、組織内で効果的なトレーニングと意識改革を浸透させるためには、さらなる取り組みが必要であることも浮き彫りになりました。

リスクを軽減し、脆弱性を防ぐ優れたトレーニングは、一度限りの練習ではなく、単なるコンプライアンス対応以上のものです。マネージャーやAppSec担当者は、組織の主要なセキュリティ目標を反映し、それを長期的に維持するための戦略とサポートを備えたセキュリティ意識向上プログラムを展開する必要があります。これこそが、セキュリティ意識の高い開発者を擁する、成功するDevSecOpsプロセスの基盤となります。

パイロットプログラムは、組織に何をもたらすのでしょうか？

Secure Code Warriorのパイロットプログラムは、企業の現在のセキュリティ健全性（通常65〜75％程度）を把握し、即座に改善すべき領域を特定するための非常に価値あるツールです。このプログラムによって、以下のことが明らかになります。

• どの脆弱性に優先的に対処すべきか、またその方針を特定のチーム、事業部門、プログラミング言語のどれに適用すべきかという明確な指針
• ソフトウェア開発の人的要因を含め、SDLC（ソフトウェア開発ライフサイクル）内のサイバーセキュリティリスク要因に関する、より正確で広範なインテリジェンス
• SCWプラットフォームを活用することで、組織はペネトレーションテストの結果を予測し、プロジェクトにアサインされる前の段階でリスクを軽減し、チームを準備させることが可能になります。

包括的で効果的なセキュリティプログラムの導入を開始した組織では、開発者のセキュアコーディング知識を向上させるため、通常週に1〜1.5時間の専門能力開発時間が管理職レベルで承認されています。しかし、最近では「プラットフォーム利用時間」を重視するのではなく、「どのソフトウェア開発チームがビジネスにとって最大および最小のリスクをもたらしているか」に焦点を移す組織が増えています。これは、正式な認定制度やランク付け、セキュリティチャンピオンの発掘、そして最良の結果を得るためのメンタリングプログラムと密接に関連しています。時間の割り当てと、建設的かつ前向きな評価は、セキュリティを好むだけでなく、ビジネス上のリスクを測定可能な形で低減できる 開発者を育成するための鍵となります。

組織はすでにどのようにSecure Code Warriorを活用しているのでしょうか？

多くの企業がすでにSecure Code Warriorを活用し、意識向上、開発者のスキル構築、そしてポジティブなセキュリティ文化の醸成を実現しています。

例えば、ある事例では、プラットフォームでトレーニングを行ったチームがSCWを使用して、自らのセキュリティ上の強みと弱みを明らかにしました。

開発者のアクション：開発者は自身の学習結果を確認することで、注力すべき領域を把握し、自律的にトレーニングを進めることができました。これにより、将来のソフトウェア開発に役立つ特定の脆弱性や知識のギャップを埋めるためのペース配分が可能になりました。

管理者のアクション：チームレベルで全体的な強みと弱みを分析し、懸念される特定の領域に対処するためのゲーミフィケーションを取り入れたアプローチを導入しました。これにより、関連性の高い知識を迅速に構築できる双方向の学習経路が確立されました。

成果：チームレベルでペネトレーションテストを実施すると、脆弱性が可視化されます。過去の結果と比較することで、トレーニングが一般的なセキュリティバグの削減に効果的であったかどうかを容易に検証できるようになりました。

これはソフトウェア開発の初期段階へとつながります。トレーニングの実施前に継続的な改善というチーム目標を掲げ、開発の開始時にセキュリティのベストプラクティスを導入することは、効果的かつ容易に展開でき、開発プロセス全体を通じて時間を節約することにつながります。

DevSecOpsプロジェクトチーム

理想的なDevSecOps環境では、複数の事業部門がプロジェクトチームに参加し、セキュリティのベストプラクティスを含む主要な成果を決定し、提供します。

プロジェクト開始前の調査と計画において、SCWプラットフォームは提案された開発チームのセキュリティスキルを評価し、最終的なペネトレーションテストの結果やSDLCにおけるセキュリティ関連の遅延を予測できます。これにより、十分な準備期間を確保することが可能です。プロジェクトのコードや構造に特化したトレーニングをチーム向けに作成し、セキュリティ意識スキルの認定プロセスを含めることで、プロジェクトの成果物に着手する前に、あらかじめ設定された合格基準を満たすことを義務付けることができます。

このアプローチは、脆弱性修正コストの削減、セキュリティリスクの軽減、ペネトレーションテストの時間の短縮、高額なバグ報奨金プログラムのコスト削減、そして開発者グループのスキルアップを、一元化された持続可能でスケーラブルな統一された方法で実現するという、極めて高いビジネス価値を提供します。

結論：

企業には、セキュリティを優先し、データを安全に保ち、世界的に厳格化する規制（特にGDPRの厳しいガイドラインの下でEUと取引を行う組織にとってはなおさら）を遵守するというプレッシャーが高まっています。

DACH地域の企業にとって、トレーニングの取り組みと成果を、リスク防止に関連する実務（生成されるコード内の一般的な脆弱性の削減など）に結びつけることで、実行可能なセキュリティの道筋を築いていることは明らかです。

セキュリティ予算の増額、意識向上、全体的なコンプライアンスについて、真に定量化可能なビジネスケースを構築するには、トレーニングが開発者にとって魅力的で、一貫性があり、適応可能で、測定可能である必要があります。現在のスキルレベルを追跡して適切なトレーニングを調整し、セキュリティチャンピオンを発掘し、チームのパフォーマンスを長期的に測定することはすべて不可欠な取り組みです。DACH地域の多くの先進的な企業は、包括的なSCWパイロットプログラムを通じて、そのメリットを実感しています。

多くの企業が、汎用的すぎるセキュリティパフォーマンス指標に頭を悩ませています。SCWプラットフォームを長期的かつ一貫して活用することで、企業は精度の高い評価、コース、管理指標を用いて、以下の成果を明らかにできます。

• 脆弱性の経時的な削減
• 脆弱性修正コストの経時的な削減
• 個人およびチームのスキル向上
• ペネトレーションテスト段階におけるコストと時間の削減

貴社では現在どのような指標を追跡し、どの程度の頻度で再測定していますか？また、それらの指標は時間の経過とともに明確な改善を示していますか？トレーニングの取り組みは、既存の開発ワークフローにどの程度統合されていますか？

SCWの動的でゲーミフィケーションを取り入れた包括的なアプローチは、セキュアソフトウェア開発ライフサイクル（SSDLC）ワークフローの重要な要素と見なされています。企業は開発者に適切なツールとトレーニングを提供し、SCWをSSDLCワークフローの一部として組み込んでいます。