開発者がサイバー犯罪という強敵を打ち倒すためには、2部構成のトレーニングというクエストに挑む必要があります。

本記事は DevOps.com に掲載された記事を基に、更新および転載したものです。

サイバーセキュリティの世界において、攻撃者と防御側の力関係は極めて不公平です。機密データは新たな金脈となり、攻撃者は防御をすり抜けるために素早く適応し、大小さまざまなセキュリティの脆弱性を突いて利益を得ようとしています。

生成されるコードの量は膨大で、ただでさえ不足しているセキュリティ専門家だけでは対応しきれなくなっており、データ侵害によるコストの増大は、現状の限界を物語っています。幸いなことに、デジタル社会の安全とCISO（最高情報セキュリティ責任者）の平穏を守るため、DevSecOpsの動きが広まり、開発プロセス初期から開発者をセキュリティの取り組みに巻き込めるようになってきました。開発者は今やサイバー攻撃に対する第一の防衛線として認識されており、一般的な脆弱性を未然に防ぐ力を備えつつあります。

しかし、彼らの防御能力は受けるトレーニングの質に左右されます。そして、それこそがセキュリティチームにとっての新たな難関です。業務の一環としてセキュアコーディングのトレーニングを受ける多くの開発者にとって、最大の課題は、退屈で実践を伴わない研修中に意識を保つことです。これでは効果も期待できず、セキュリティを常に意識しようという意欲も湧きません。魂のこもっていないビデオ講座や、形だけの年次研修は時間の無駄であり、わずかな隙を狙う悪意ある攻撃者に対しては全くの無力です。

現在の業界において、開発者が実務で遭遇するような課題を、実際のプログラミング言語やフレームワークを用いて体験する「文脈に沿った実践的な教育」こそが、はるかに効果的であるという認識が定着しています。

これは、AppSec（アプリケーションセキュリティ）の専門家と共に一般的な脆弱性を排除するための、開発者の探求の第一段階に過ぎません。真に強力な防御力を備えるためには、より現実的なシナリオを用いた第二段階のトレーニングが必要です。

成人教育における「足場かけ（スキャフォールディング）」の重要性

社外研修やOJTにおいて見落とされがちなのは、大人はすでに一定の経験と知識を持っているという点です。優れたトレーニングとは、この基盤の上に積み上げるものであり、学習者がより深く理解し、自律的に学習を進められるよう構成されている必要があります。

「足場かけ」による教育は、学習者の既存の経験を活かしつつ、新しいスキルを管理可能な単位で積み上げていく、非常に強力で前向きな学習手法です。これにより、学習者は自信を持って、より困難な課題に取り組めるようになります。一般的に、デモンストレーションや視覚教材を豊富に取り入れ、学習者主導の探求を促す手法が最も効果的です。

このアプローチを開発者のセキュリティトレーニングに当てはめると、理論中心の退屈な学習よりも、動的で実践的な学習手法が長年支持されてきたのも納得です。開発者は自らの領域の主導権を握るべきであり、トレーニングに費やす時間が有意義であると実感できる必要があります。

その意味で、極めて関連性の高い文脈の中でセキュアコーディングを学ぶことは重要ですが、さらに一歩進むには、脆弱なコードが実際に悪用される様子を目の当たりにすることが不可欠です。フロントエンドとバックエンドの視点を並べて確認することで、コーディング中の行動と、手抜きや設定ミス、あるいは見過ごされた事故が攻撃者にどう悪用されるのかという、具体的な因果関係を理解できるようになります。

「記憶」から「応用」へ：真の予防的セキュリティアプローチ

セキュリティの脆弱性がもたらす影響を直接体験することは、教育において不可欠な要素ですが、最新のトレーニングであっても、これを実現しているものはまだ稀です。脆弱性を発見・修正するスキルを磨き、コードを書く際にその経験を活かしてバグを排除する基礎的な作業は極めて重要ですが、それだけでは不十分です。脆弱なコードが どのように 悪意ある攻撃者に悪用されるのかを目の当たりにすることは、強力な文脈的理解をもたらします。これこそが、コードを保護することの重要性を深く認識させ、苦労して得たセキュリティ知識を総動員して、あらゆる攻撃の隙を塞ぐことにつながるのです。

一般的に、開発者はセキュリティを好まず、セキュリティトレーニングにはさらに消極的です。AppSec専門家との関係は冷ややかになりがちで、セキュリティチームから脆弱なコードを突き返されて修正を強いられることは、彼らにとって最大のストレスです。ただでさえ多忙なエンジニアチームにとって、セキュリティは自分たちの優先事項ではなく、機能開発という本来の創造性を阻害する「他人の問題」と映ります。しかし、世界中のデータが抱えるリスクと、あまりにも多いコード量、そして頻発する侵害を考えれば、このような考え方を続けることはもはや不可能です。

機能的なDevSecOpsプロセスでは、開発者はSDLC（ソフトウェア開発ライフサイクル）の初期段階からセキュリティチームと連携します。シミュレートされた攻撃を体験し、セキュリティが不十分なコードの影響を目の当たりにする実践的な学習機会は、開発者が「厄介なAppSec担当者」（実はそうでもないのですが）と共通の認識を持つための大きな助けとなります。

インタラクティブな学習で、開発者は「ボス戦」に備える

執筆時点で、7日間に2件の重大なデータ侵害が報告されました。Razer社は 10万件以上の機密データが流出した可能性がある と発表し、オフィス用品チェーンのStaples社も 同様のデータ漏洩を報告しました。2020年だけで既に10億件以上の機密レコードが流出しており、この憂慮すべき傾向は収まる気配がありません。端的に言えば、攻撃者が優位に立っており、第一の防衛線として機能するセキュリティ意識の高い開発者が切実に求められています。

侵害をシミュレーションするインタラクティブな課題に取り組むことで、開発者は単なる知識の暗記から脱却し、実際の「ボス戦」である攻撃者の阻止に直結するスキルの習得へとステップアップできます。

‍