イネーブラー2：経営層のスポンサーシップ

前回の記事では、真に成功するセキュアコーディングプログラムには、重要なビジネス成果と直接結びついた目標設定が不可欠であることを確認しました（イネーブラー1：明確かつ測定可能な成功基準）。しかし、成功するプログラムには目標や指標だけでなく、組織のトップ層から得られる権限、可視性、そして信頼性が必要です。

This brings us to Enabler 2: Senior Leadership Sponsorship, a critical factor in ensuring widespread buy-in and adoption for your program. Securing C-Suite/Executive buy-in is essential for driving a smooth program rollout and helping drive sustained interdepartmental support.

受動的な認知ではなく、積極的な賛同を

セキュアコーディングを成功させるには、経営陣がプログラムを全面的に支持する必要があります。単に存在を知っているという受動的な状態ではなく、積極的に支援する姿勢が不可欠です。リーダーは、プログラムの「目的と理由」を完全にバックアップしなければなりません。

重要なのは、経営層の名前がプログラムや目指すべきビジネス成果と結びついていることです。効果的なセキュアコーディングの実践と、全社的なリスク低減との間に根本的なつながりがあることを、彼ら自身が確信している必要があります。

具体的には、以下のような形が考えられます。

Executive Participation in Program Launch - This may come in the form of email communications, company-wide kickoffs, departmental meetings, and more. They can communicate the program's rationale from the start to help build buy-in from the developer organization.

Celebrating Wins - Leadership actively celebrating developer wins can go a long way in incentivizing program participation. Whether it’s presenting awards to developers in meetings, shout-outs or kudos in company communications, or even having an executive signature on certificates of completion, it often helps developers to know that leadership is watching and appreciates their efforts.

Reviewing Value and ROI - A regular cadence of reviewing the Joint Success Plan with leadership helps ensure the program's value and return on investment (ROI) are realized. When necessary, leadership can help pull in necessary resources to help continue gaining buy-in for a program.

‍

不可欠な経営陣の顔ぶれ

セキュアコーディングプログラムが推進力を持ち、戦略的な重要性を得るためには、一人のリーダーだけでなく、複数の関与が理想的です。不可欠なCレベルのスポンサーには、CIO、CDO/CTO、CISOが含まれるべきです。大規模な組織では、これら3つの役割すべてが関与することが必要です。

これらの役割は、プログラムの成功に不可欠な、それぞれ異なる影響力をもたらします。‍

• ‍CIO（最高情報責任者）： ビジネスを支援・推進するために、開発者が何を構築するかを決定します。大規模な組織では、複数の事業部門にそれぞれのCIOが存在し、IT構造全体を統括するグローバルCIOが率いている場合があります。
• ‍CDO/CTO（最高開発責任者／最高技術責任者）： 開発者がどのように構築するかを決定します。これには、設計基準やパターン、開発ツール、アプリケーションアーキテクチャ、ビルドパイプラインの確立が含まれます。プログラムをエンジニアリング戦略に組み込むためには、このリーダーがセキュリティに賛同することが不可欠です。
• ‍CISO（最高情報セキュリティ責任者）： 開発者が安全な方法で構築することを保証する責任を負います。その役割は、ビジネスで使用されるアプリケーションの安全性を確保し、データ漏洩や過度なリスクへの露出を防ぐことです。
  ‍

Why the CISO Alone is Not Enough

While the CISO plays a fundamental role in driving risk management and compliance, relying solely on them can be a challenge. It is a harsh reality that developers may not be incentivized by, or necessarily respond to, the CISO alone.

Therefore, at least one of the ‘voices from the top’ communicating the ‘why’ of the program to the development community needs to be credible and respected by the majority of those developers.

明確な目標（イネーブラー1）が定義され、政治的な資本（イネーブラー2）が確保されたことで、プログラムは勢いを増す準備が整いました。次はイネーブラー3：開発者向けコミュニケーション計画へと進みます。

ご不明な点はありますか？

既存のお客様は、担当のアカウントチームまたはsupport@securecodewarrior.comまでお問い合わせください。新規のお客様は、こちらから弊社営業チームまでお問い合わせください。

成功のための前回のイネーブラーである明確かつ測定可能な成功基準についてもご確認ください。