企業におけるSecure-by-Designの取り組みを成功へ導くために

CISAが主導するSecure-By-Design（SBD）の動きが世界的に勢いを増していることは非常に心強いことです。米国、オーストラリア、ニュージーランド、カナダ、シンガポール、日本、ドイツ、英国が、同様のガイドラインをサイバーセキュリティ戦略に組み込むことを約束しており、これらの国々の多くが当初の推奨事項の策定にも貢献しています。

2024年4月以降、Secure Code Warriorを含む200社以上の企業がSecure-by-Design誓約に署名しており、ソフトウェアの品質とセキュリティ基準の向上に対する業界全体のコミットメントが示されています。私たちは、このガイドラインをサイバーセキュリティリーダーにとっての転換点と捉えています。彼らは初めて、ソフトウェア開発における抜本的な文化変革に向けて、世界各国の政府から支援を得られるようになったのです。これらの推奨事項は、米国政府に直接販売するソフトウェアベンダー以外にはまだ義務付けられていませんが、これは単なる未来の話ではなく、脅威アクターに対抗するための絶好の機会です。ガイドラインの核心は、脆弱性のカテゴリーを排除することを目指す点にあり、業界全体でこの目標に取り組むことで、ここ数十年間で最も大きなプラスの影響をデジタル安全性にもたらすことができるでしょう。

私たちはこの動きを極めて重要だと考えており、当社の最新調査レポート『Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise』 は、企業レベルでの「Secure-by-Design」の取り組みを詳細に分析し、データに基づいたベストプラクティスを導き出したものです。

組織的なSecure-by-Designの取り組みにおけるROIの測定

長年定着してきたソフトウェア開発慣行を刷新することは、決して容易なことではありません。CISOは、セキュリティプログラム活動のROI（投資対効果）やビジネス価値を、人材および企業の両面で証明するよう求められることが多く、予算削減や新しいサイバーセキュリティ施策に対する経営層の理解不足に頭を悩ませるケースが増えています。しかし、データに裏打ちされた提案があれば、状況は一変するはずです。

近年、組織が業界標準に対してどの位置にいるかを評価するためのスキルベンチマークが存在しないことが、大きな課題となってきました。そのため、適切な領域に影響を与え、ソフトウェアセキュリティの成功に不可欠な要素である開発チームの継続的な改善を促進するセキュリティプログラムを策定・実行することが非常に困難でした。

Secure-by-Designの取り組みを成功させる鍵は、開発者にセキュアなコードを書くスキルを習得させるだけでなく、そのスキルが確実に備わっていることを規制当局に証明することにあります。そこで私たちは、開発チームの準備状況を分析することにしました。その結果は驚くべきものでした。

SBDの取り組みを加速させたい企業が「Trust Score」を活用する方法

現状を把握し、目指すべき場所を明確にしなければ、効率的な改善はほぼ不可能です。しかし、数百社のエンタープライズ顧客が、開発チームのセキュリティ能力を定量化するグローバルなベンチマークであるSCW Trust Scoreを効果的に活用し、有益で詳細なデータポイントを得ています。これらの洞察は、Secure-by-Designの成功に寄与する、開発者主導の極めて効果的なセキュリティプログラムを形作ります。

当社のホワイトペーパーで明らかになった分析によると、重要インフラ業界の企業は、SBDの取り組みを推進するための開発者の準備において着実に前進しています。また、これらの業界の開発チームは、平均的なセキュリティ体制を備えていることも分かりました。

重要インフラ業界における開発者のスキルアップに関するSecure Code Warriorの分析は、世界中の600社のエンタープライズ顧客と25万人以上の現役開発者から得られた2,000万以上のデータポイントに基づいています。分析の結果、以下のことが判明しました。

• 現在、開発者中心のSBDスキルアップの取り組みに参加している開発者の総数は、世界全体の開発者の4%未満であること。
• 金融サービス業界が336という最も高いTrust Scoreを記録したこと。
• 大規模なSecure-by-Designのスキルアップの取り組みの多くは成功している一方、小規模な取り組みは散発的になりがちであること。ただし、明確な方針が示されれば、より早期に測定可能なROI（投資対効果）が得られることが示されたこと。
• スキルアップの取り組みが定着すると、開発者がアプリケーションに持ち込むリスクは大幅に減少すること。分析によると、大規模なスキルアップの取り組み（1社あたり7,000人以上の開発者）を行っている場合、脆弱性を予測可能な形で47〜53%削減できることが分かりました。

解決策 | 結論

SCW Trust Scoreは、セキュリティリーダーにとって強力な武器であり、組織内の特定の領域を包括的に掘り下げることができます。レポートは言語、チーム、カテゴリーごとにフィルタリング可能で、開発者やチームの具体的なニーズに対応し、追加のトレーニングやコーチングが必要な領域を特定するためのカスタマイズされたレポートを作成できます。結局のところ、セキュリティは終わりのない取り組みであり、パフォーマンスを効果的にベンチマークすることで、継続的な改善の機会を特定できるようになります。

ソフトウェア開発とデプロイの加速、ますます脅威を増すサイバー情勢、そして監視の目を強める規制当局により、サイバーセキュリティは最優先事項となりました。組織は、まだ取り組んでいないのであれば、企業全体でセキュリティを最優先する文化の醸成を急ぐ必要があります。