効果的な開発者向けセキュリティトレーニングを導入する方法：5つの重要な教訓

なぜ、開発者向けのアプリケーションセキュリティトレーニングプログラムによって成果に差が出るのでしょうか？

SANSのトレーナーとして10年以上、そしてSecure Code Warrior（SCW）の創設者として3年間、私はトレーニングプログラムから最大限の成果を引き出すために時間とリソースを投資することの重要性を目の当たりにしてきました。

販売開始初年度、当社は1万人以上の開発者にセキュアコーディングトレーニングを提供しました。その中で、最も効果的に導入できた企業にはいくつかの共通した傾向が見られました。その成果は素晴らしいもので、高いエンゲージメント、セキュリティ意識の向上、そしてセキュリティ上の弱点をコストがかさむ前に早期発見することによる強力なROI（投資対効果）が実現されています。

認めたくはありませんが、中には「手間をかけない」アプローチをとり、トレーニングへのリンクをメールで送るだけでプログラムを導入しようとした企業もありました。当然ながら、そうしたやり方はうまくいかず、私たちは導入方法の修正を余儀なくされました。

以下に、私たちのプログラムを含め、あらゆる開発者向けセキュリティトレーニングプログラムのエンゲージメント、影響力、そして成功を大幅に高めるために不可欠だと考える5つの教訓を紹介します。

1. プログラムにインパクトを与えたいなら、キックオフに遊び心を取り入れる

特別なキックオフイベントを開催したり、映画やギーク、ゲームといったテーマをプログラムに設定したりすることで、開始当初の熱量や参加意欲に大きな違いが生まれます。私たちの顧客の一社は、人気テレビシリーズをモチーフにした壮大なファンタジー風のプログラムを作り上げ、Tシャツやバッジ、ステッカーまで用意しました。その結果、開発者が参加せずにはいられない体験型プログラムとなりました。また別の企業では、5月4日にちなんでスター・ウォーズをテーマにしたイベントを開催しました。少しの遊び心は、従業員を巻き込む上で非常に効果的です。重要なセキュアコーディングスキルの習得を、単なる「やらなければならない仕事」ではなく、仕事の合間のリフレッシュのように感じさせることができます。これで最初のマイルストーンは達成です。開発者の関心を引き、プログラムの存在を周知することができました。

2. 適切なセキュリティトレーニングの推進役（チャンピオン）を見つける（ヒント：セキュリティスキルよりもコミュニケーション能力が重要です！）

特に大規模な組織において、各スクラムチームから適切なセキュリティチャンピオンを見つけることは、プログラムを継続的に成功させるために不可欠です。私の経験上、高度なセキュリティ知識や開発スキルを持つ人が、必ずしも優れた対人スキルやコミュニケーション能力を兼ね備えているとは限りません。プログラムに継続的かつポジティブな影響を与えてくれる最高のセキュリティチャンピオンとは、セキュリティに情熱を持ち、かつ優れた対人能力、影響力、コミュニケーション能力を備えた人物です。人選は慎重に行い、性格やコミュニケーションスキルを考慮に入れてください。

3. スキルを称える魅力的な報酬を用意する

一般的に、開発者を含むコンピュータギークは、自分の知性やスキルが認められることを好みます。スキルを証明する特別なステッカーやギークなガジェット、専用バッジ、オリジナルTシャツなどで報酬を与えれば、彼らはそれを誇らしげに身につけたり飾ったりするでしょう。トレーニングプログラムで大きな成果を上げた人には、称賛し、注目を集める方法を考えることが重要です。ある顧客企業では、Secure Code Warriorのチャンピオンの写真を定期的に撮影し、CISO（最高情報セキュリティ責任者）からのメッセージと共に社内ニュースレターに掲載するという素晴らしい取り組みを行っていました。

4. 開発者をセキュリティの専門家にしようとしない

開発者にセキュアなコーディングを促し、セキュリティプログラムの「第一線」として活躍してもらうことは重要ですが、だからといって彼らが社内で最も深いセキュリティ知識を持つ専門家になる必要はありません。また、新しいセキュリティ脆弱性やデータ侵害の事例を絶えず送りつけるべきでもありません。セキュリティは重要ですが、彼らの本来の目的は優れた製品やサービスを構築し、ビジネスのスピードについていくことです。セキュリティの情報を詰め込みすぎると、モチベーションを低下させるリスクがあります。重要な教訓は、彼らには基本的なセキュリティ衛生を理解させ、セキュアにコーディングするためのツールでサポートすれば十分であり、社内のセキュリティ専門家になることを求める必要はないということです。

5. トレーニングの実施状況ではなく、インパクトを測定する

開発者が何時間のトレーニングを受けたか、何本の動画を見たかを測定するのではなく、プログラム開始前に各チームでコード分析、バグバウンティ、あるいは従来の脆弱性テストを通じて検出されていた弱点の数を測定してください。トレーニングプログラムが機能していれば、特定される脆弱性の数は減少するはずです。次に測定すべきは、脆弱性の修正にかかる時間です。修正に1ヶ月もかかるのであれば、その方法を理解していないことは明らかですが、1時間で修正できるなら、スキルを習得していることがわかります。これら2つの指標こそが、賢い企業が開発者向けセキュアコーディングトレーニングのインパクトを測定するために採用しているものです。

効果的な開発者向けセキュリティトレーニングを導入するための5つの重要な教訓：

1. 1. プログラムにインパクトを与えたいなら、キックオフに遊び心を取り入れる
2. 2. 適切なセキュリティトレーニングの推進役（チャンピオン）を見つける（ヒント：セキュリティスキルよりもコミュニケーション能力が重要です！）
3. 3. スキルを称える魅力的な報酬を用意する
4. 4. 開発者をセキュリティの専門家にしようとしない
5. 5. トレーニングの実施状況ではなく、インパクトを測定する