開発者主導型セキュリティに向けた一貫性のあるアプローチの確立
SolarWinds事件のような大規模なセキュリティ侵害を受け、開発者主導のセキュリティ対策を強化する動きが加速しています。この事件では、人気の管理ソフトウェア「Orion」のアップデートプロセスが悪用され、大手企業や政府機関を含む1万8,000以上のユーザーが感染しました。あらゆる規模の組織が「ソフトウェアサプライチェーン」を問い直し、ソフトウェアを開発するエンジニアに検証済みのセキュリティスキルと意識を求めるようになっています。
米国政府でさえ、開発者主導のセキュリティ慣行の改善とソフトウェアサプライチェーンの強化を求めています。これらの概念は、バイデン大統領が発令した「国家のサイバーセキュリティ向上に関する大統領令」の重要な柱となっています。
全体として、開発者コミュニティはDevSecOpsのようなプログラムや活動を通じて、ソフトウェア開発ライフサイクル（SDLC）の初期段階にセキュリティを組み込むという考え方を前向きに受け入れています。最近の調査でも、開発者はその取り組みを支えるセキュリティトレーニングを高く評価していることが分かりました。
ソフトウェアの脆弱性は依然として悪用され続けており、開発者自身もコードに脆弱性を残してしまうことがあると認めています。
なぜでしょうか。
調査の結果、開発者コミュニティにとって高品質なコードを書くことが最優先事項であることが確認されました。しかしその一方で、提供されているトレーニングが価値あるものと見なされながらも、ソフトウェアサプライチェーンの保護という目標には遠く及ばない理由もいくつか明らかになりました。33%の開発者が、トレーニングを受けた後でも既知の脆弱性を特定・修正する方法が分からず、コードに脆弱性を残していると回答しています。また、圧倒的多数の92%が何らかの追加トレーニングが必要だと答え、50%が大幅なトレーニングの拡充が必要だと回答しました。
開発者コミュニティが提供されるトレーニングを重視していることは明らかです。しかし、セキュアコーディングの実践を阻む要因について尋ねたところ、最大の理由は「時間の不足」であり、次いで5分の1が「一貫したアプローチの欠如」を挙げています。トレーニングは、セキュリティを開発ワークフローに組み込み、日常的に活用するための継続的な戦略の一部ではなく、単発のイベントとして捉えられているのが現状です。
そのため、開発者は組織全体で一貫した継続的なプログラムの一環として、セキュアコーディングのスキルを習得・維持することができていません。また、多くの開発者が依然として一般的な脆弱性を特定・修正できないと述べていることから、現在受けているトレーニングは、あまり効果的でも包括的でもないと言わざるを得ません。
92%の開発者が何らかの追加トレーニングが必要だと回答し、50%が大幅なトレーニングの拡充が必要だと回答しました。
この状況を改善するために、組織は何ができるのでしょうか。
開発者が圧倒的に多くのセキュリティトレーニングを必要としている点は興味深い事実です。彼らは受けたトレーニングを評価してはいますが、それは単に「得られるものなら何でも歓迎する」という状況に過ぎないのかもしれません。
トレーニングを改善する方法について意見を求めたところ、本音が浮かび上がってきました。一般的に、開発者が受けるトレーニングの多くは限定的で、対話性に欠け、業務との関連性が薄く、組織のセキュリティスキルと意識を向上させるための全体的かつ継続的な計画の一部にはなっていません。調査対象の開発者によれば、組織がトレーニングの効果を高めたいのであれば、SDLC全体でセキュリティを重視する包括的なアプローチの一環として提供すべきだといいます。さらに、開発者はトレーニングの価値を高めるための具体的な要望も挙げています。最も多かった提案の一つは、セキュリティの観点から遭遇する可能性が高い状況のユースケースや実践的な例を増やすことでした。また、教育内容を徐々に複雑で困難なシナリオへと発展させることも効果的だという回答が多く、これには一貫したアプローチと、継続的な学習とスキル開発のための長期計画が必要になるでしょう。開発者はまた、対話性の向上や、競争要素の導入の必要性も強調しました。一般的に、動画を視聴したり講義を聞いたりするだけの、実践的で文脈に沿った学習機会のないトレーニングは、セキュアコーディングのような複雑で（難しいと認識されている）スキルを教える際には、効果的でも価値があるとも見なされていません。
開発者はまた、対話性の向上や、競争要素の導入の必要性も強調しました。
一貫したセキュリティアプローチを採用する上で、他にどのような要素が重要でしょうか？
組織の開発者コミュニティのセキュリティ意識とスキルを向上させるには、トレーニングが不可欠です。学習を継続的かつ対話的で、関連性のある文脈に沿ったものにすることは必須です。しかし、より良いセキュリティ意識のための真に一貫したアプローチは、それ以上のことを必要とします。
真に一貫したアプローチには、開発者主導のセキュリティ文化を真に育むために何が必要かを検討することが不可欠です。これには、開発チームの管理や構築に関する従来のやり方を見直す必要があるかもしれません。例えば、開発者は伝統的にコーディングのスピードで評価されてきました。しかし、セキュリティに対する一貫したアプローチをとるなら、そうした長年守られてきた指標や価値観を変える必要があるでしょう。単なるスピードを評価するのではなく、脆弱性のない高品質で安全なコードを作成できる開発者を評価するように、評価基準をシフトさせるのです。
また、開発者コミュニティ自身をこの取り組みに巻き込むことも考えられます。セキュリティを一方的に義務付けるのではなく、コミュニティの中から「セキュリティチャンピオン」を選出することを検討してください。彼らはトレーニングや新しい評価指標を通じて頭角を現した、才能がありセキュリティ意識の高い開発者です。彼らが他の開発者のスキル向上を支援することで、開発者コミュニティを内側から強化できるはずです。
真に一貫したアプローチには、開発者主導のセキュリティ文化を真に育むために何が必要かを検討することが不可欠です。これには、開発チームの管理や構築に関する従来のやり方を見直す必要があるかもしれません。
関連資料
ホワイトペーパー：ソフトウェアセキュリティ向上のための課題と機会
ホワイトペーパー：開発者主導による予防的なソフトウェアセキュリティアプローチ
ホワイトペーパー：DevSecOpsの頂点へ：セキュリティチャンピオンがチームを勝利に導く、脆弱性対策の極意
レポート：2022年版 開発者主導型セキュリティの現状
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
