高度なセキュリティインテリジェンス：開発者のNIST準拠を支援するガイド付きコース

最近、サイバーセキュリティ業界では非常に歓迎すべき動きが見られます。多くの組織において、ソフトウェア構築の初期段階からセキュリティを優先するという意識が高まりつつあるようです。バイデン大統領のサイバーセキュリティに関する大統領令などの公的な施策と相まって、ソフトウェアのセキュリティとデータの安全性を確保するために、誰もが自分の役割を果たす必要があることが明確になりました。特に興味深いのは、セキュアコーディング基準の維持における開発者の役割についての議論が、政府レベルでさえ進化し続けているという点です。

しかし、この議論には欠けているものがあります。大統領令では開発者に検証済みのセキュリティスキルが必要であると示唆されていますが、現時点ではそのような公式な認定制度は存在しません。多くの企業は、コンプライアンスとより高いソフトウェアセキュリティ基準を追求する中で、NIST（大統領令を受けてガイドラインを更新した機関）の指針を参考にしていますが、適切なツールを取り入れ、リリースのスピードを維持しながら脆弱性を大幅に削減するための戦略を検討する場合、そのほとんどはあまりに一般的すぎて、望ましい成果を生み出すには至っていません。多くの企業がここで立ち往生し、限定的な開発者トレーニングに甘んじたり、一般的な基礎知識を実践的で実用的なスキルへと昇華させられずに苦慮したりしています。

セキュリティ意識の高い開発者は一朝一夕には育ちませんが、適切なツールがあれば、より迅速に育成し、レベルアップさせることが可能です。そこで私たちは、米国政府の大統領令のガイドラインに基づき構成された、NISTコンプライアンス対応の独自のコースを発表いたします。

開発者のための、コードレベルでの有意義なサポート

大統領令で重要とされる（EO-critical）ソフトウェアに関するNISTのガイドラインをこちらで活用し、私たちは5つの主要目標を達成するためのコースを構築しました。これは最終的に、政府の最高レベルで使用される重要なソフトウェアのセキュリティを向上させ、根本からより高品質な開発を行うためのベンチマークとして機能することを目指しています。

開発チームにおいて真の成果を上げるためには、スキルアップは理論にとどまってはならず、仕事とトレーニングの間で絶えずコンテキストを切り替えて答えを探すような、アジャイル性を損なう方法であってはなりません。厳格なセキュリティ慣行（セキュリティチームも同様）は、納期通りの開発スプリントを阻害するものと見なされがちであり、機能開発に集中したいエンジニアの意欲を大きく削いでしまうからです。

開発者のニーズに合わせてカスタマイズされた、短く手軽なマイクロラーニングであれば、抵抗感も少なく、記憶に残る実践的なスキル習得につながります。

当社のNISTコースの構成をご覧ください：

目標1：EO重要ソフトウェアおよびEO重要ソフトウェアプラットフォームを、不正なアクセスや使用から保護する。‍

セキュリティ設定の不備や不適切な認証慣行は、攻撃者がシステムに侵入し、アカウントを乗っ取り、データを盗み出すために悪用されます。これらは一般的なバグであり、悪用されると甚大な問題を引き起こす可能性があります。

開発者はSecure Code Warriorラーニングプラットフォーム上で、日常業務で遭遇するような現実のコードスニペットに基づいた課題に取り組み、それらを安全にするための正確な解決策を見つけることができます。DevOpsエンジニアにとって、インフラの保護には緻密なアクセス制御設定が必要であり、Terraform、CloudFormation、AnsibleといったInfrastructure as Code（IaC）言語や、DockerやKubernetesで使用されるコードにおいて、この要件を満たすための専門的な課題が用意されています。

目標2：EO重要ソフトウェアおよびEO重要ソフトウェアプラットフォームで使用されるデータの機密性、完全性、可用性を保護する。

この目標において、すべての道はアクセス制御に通じます。不適切なアクセス制御は、最近OWASP Top 10 2021においてインジェクション攻撃を抜いてトップに躍り出ました。これは、セキュリティ意識の高い開発者が早期に発見し修正する必要がある深刻なバグです。

このコースでは、コードレベルでの最小権限の原則といった概念を扱い、ベストプラクティスとして、ユーザーアカウントのアクセス権を必要な範囲のみに制限するというアプローチを定着させることを支援します。

目標3：EO重要ソフトウェアプラットフォームおよびそのプラットフォームにデプロイされたソフトウェアを特定・維持し、EO重要ソフトウェアを悪用から保護する。

大規模組織における最大の課題の一つは、現在稼働しているすべてのソフトウェア、システム、コンポーネントに対するセキュリティ監視を維持することです。リスク管理とパッチ適用に関しては、これらをセキュリティプログラムの優先事項とし、開発者がセキュリティメンテナンスを遂行するために常に警戒を怠らないようにする必要があります。

Secure Code Warriorラーニングプラットフォームでは、開発者は脆弱なコンポーネントの特定と修正、および権限設定に関連するセキュリティ設定の不備を解消するための課題に取り組むことができます。

目標4：EO重要ソフトウェアおよびEO重要ソフトウェアプラットフォームに関連する脅威やインシデントを迅速に検知し、対応し、復旧させること。

多くの組織がいまだにサイバーセキュリティの問題に対して、予防ではなくインシデント対応に注力しているのは残念なことであり、時間とコストの無駄でもあります。私たちはこの文化を変えるべく取り組んでおり、セキュリティのベストプラクティスを適切に習得した開発者こそが、予防的な防御力を提供する鍵となります。

目標4では、開発者が自身の役割において、ソフトウェアおよびネットワークレベルの両方で、環境とエンドポイントのセキュリティを継続的に監視することを求めています。ログ記録や監視の不備は、潜伏しやすく見過ごされがちな問題であり、エンジニアが日々の業務の中でこれに適切に対処できる能力を身につけることが不可欠です。

Secure Code Warriorの学習プラットフォームでは、開発者がWeb、API、クラウド言語を問わず、チャレンジを通じてこれらのスキルを磨くことができます。

持続可能なセキュリティ意識の向上。

目標5：EO重要ソフトウェアおよびEO重要ソフトウェアプラットフォームのセキュリティを促進する、人間の行動に対する理解と実行力を強化すること。

これは非常に包括的な目標ですが、達成すべき最も重要な項目です。最初の4つの目標を習得しなければ実現できません。このガイドラインでは、セキュリティ意識向上活動を頻繁に実施すること、そしてEO重要ソフトウェアに対するすべての「人間の行動」が、役割と責任に応じた適切なトレーニングを受けた担当者によって行われることを求めています。

開発者は、コードだけでなく、セキュリティ設定やアクセス制御にも最も深く関わる存在です。彼らのセキュリティスキルを育成することは不可欠であり、NISTが定める高い基準を達成するためには、特に大規模な開発チームにおいて、実践的なコース構成が効率的な解決策となるでしょう。

今すぐ開発チームの経験値とセキュリティIQを高めましょう。