セキュアコーディングの成果を高めるための研修構築方法
.avif)
開発者向けのセキュアコーディング研修において、教育効果は期待を大きく下回っているのが現状です。多くの企業が多額の費用を投じているにもかかわらず、実務での成果はほとんど得られていません。それも無理はありません。最新の調査*によると、開発者はセキュアコーディングの学習を退屈だと感じており、その実装方法を学ぶことは困難だと考えています。セキュアコーディング研修には新しいアプローチが必要です。そこで2020年、Secure Code WarriorはEvans Data Corp.と共同で、セキュアコーディングに対する開発者の姿勢、セキュアなコーディングの実践、およびセキュリティ運用に関する基礎調査を実施しました（ホワイトペーパーのダウンロードはこちら）。
提供されている研修について開発者に評価を求めたところ、彼らは容赦なく、現在のセキュアコーディング研修には以下のような問題があると指摘しました。
- 実務から切り離されている - 40%
- 理論に偏りすぎており、実際の業務と関連がなく、実践的ではない - 40%
- 頻度が低く、業務との関連性や魅力に欠ける - 30%
これらの統計は深刻です。現在のセキュアコーディング研修は文脈を無視しており、開発者が日々行っている業務と何ら有意義な関係がないことを示しています。
多くの場合、学んだことを実際の業務環境で活かすことができません。そのため、多くのセキュリティ研修が時間と費用の無駄になっています。
開発者が求める研修を実現する5つの方法
開発者がどのような研修を求めているかについて、5つの点が明確になりました。
- 75%の開発者が、構造化されたオン・ザ・ジョブ・トレーニング（OJT）を好むと回答しており、それが最も効果的で納得感のある学習方法だと考えています。
また、研修に何を含めるべきかという点について、開発者からは非常に明確で具体的な要望が寄せられています。 - 65%が、言語固有の脆弱性に関する研修の強化を求めています。
- 65%がOWASP Top 10
- に関する研修の拡充を望んでいます。また、多くの開発者がコンプライアンス・セキュリティ・フレームワーク（NIST 58%、CIS 52%、PCI DSS 50%など）への注力を求めています。
- 78%が、研修の一環として非公式なピアコーチングやガイダンスを求めています。
しかし何よりも、開発者は実践的で、日々の業務の文脈に根ざしたセキュアコーディング研修を求めています。開発者は講師の話を聞くだけの研修を望んでいません。実際に手を動かし、自分で試すことを求めているのです。彼らは実践的な応用を重視しており、現在の研修プログラムにはそれが著しく欠けています。調査対象の開発者が挙げた「優れた研修の5つの特徴」は以下の通りです。
- 実際の業務シナリオを示す、より実践的な研修（30%）
- 特定のコードや脆弱性に焦点を当てたガイド付きアクティビティ（24%）
- より多くの事例やユースケースの盛り込み（24%）、研修を受ける具体的なメリットの提示（20%未満）、チームビルディング演習の組み込み（20%未満）
- 研修を受ける具体的なメリットの提示
- チームビルディング演習の組み込み
開発者はセキュアコーディング研修を通じて、基礎スキルと正当な評価を得ることを望んでいます。セキュアコーディングのスキルは雇用主から高く評価されるため、開発者は特に転職時などに、周囲と差別化を図ることに意欲的です。技術的な習熟度や専門スキルを証明したい開発者は、以前から公式の認定プログラムを活用してきました。構造化された認定研修を求めているかという問いに対し、70%が「求めている」と回答しました。主な動機は、習得したスキルの公式な認定、業務効率の向上、そして企業にとって不可欠な人材になることでした。
より良い教育成果を得るには、開発者中心の研修が鍵となります。構造化されたセキュアコーディング研修は開発者にとって魅力的ですが、それは彼らが求めるものを提供できる場合に限られます。この課題に取り組み、開発者のニーズに合わせて研修を再構築する企業は、脆弱性の再発防止、コード提供の迅速化、そしてそれに伴う評価向上という恩恵を享受できるでしょう。
開発者が求めているのは、関連するプログラミング言語やフレームワークを用いた、文脈に沿った実践的な教育であり、現実世界で直面する課題を模した演習です。セキュアコーディング変革の推進者として、Secure Code Warriorは人間中心のアプローチで開発者の要望に応えます。チームがより迅速にセキュアなコードを出荷できるようになる可能性について、今すぐデモをリクエストしてください。
*Shifting from reaction to prevention: The changing face of application security. Secure Code Warrior and Evans Data Corp. 2020
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
