教育現場で高まる詳細なセキュリティトレーニングの必要性

2015年に活動を開始して以来、私たちは一貫して、開発者が楽しく、実践的で、意欲的に取り組めるセキュアコーディングのトレーニングを提供することに注力してきました。私たちは、セキュリティのベストプラクティスを理解し、その重要性を認識し、コードを書く段階から悪意のある攻撃に対してソフトウェアを強化する方法を開発者に伝えることの重要性を、長年提唱してきました。

しかし、セキュリティトレーニング自体は新しい概念ではありません。私たちがこの取り組みの先駆者というわけではなく、ソフトウェア開発において適切なセキュリティ対策が長年考慮されてきたのも事実です。確かにトレーニングの種類によって効果に差はありますが、今日ではセキュリティ教育を受ける機会は比較的容易に得られます。

…では、なぜこれほどまでにデータ侵害が絶えないのでしょうか。9月時点で、2019年だけで40億件を超える記録が、複数のサイバー攻撃によって流出しています。

多くの組織が、ますます価値が高まるデータを守るために苦戦を強いられています。世界中のCISOやCIOにとって、「シフトレフト（開発工程の早期段階でのセキュリティ対策）」ではもはや遅すぎることは明白です。SDLC（ソフトウェア開発ライフサイクル）において、セキュリティを最初から組み込む必要があります。つまり、コードが公開されるどころか、コミットされるよりもずっと前の段階で欠陥を修正できるよう、開発者が十分なセキュリティ知識を備えていなければならないのです。

AppSec（アプリケーションセキュリティ）の専門家だけがセキュリティ知識の門番であってはなりません。

かつてソフトウェアセキュリティは、コードを書くエンジニアとはほとんど関わりのない、ごく一部の優秀なギークたちの領域でした。彼らの仕事は、テストを行い、欠陥を見つけ、安全でないコードが世に出るのを防ぐことでした。もし彼らがエンジニアと接点を持つとしても、それはセキュリティ専門家がコードの欠陥を指摘する時であり、苦労してコードを書き上げた開発者からは冷ややかな反応が返ってくるのが常でした。

現在に目を向けると、状況はほとんど変わっていませんが、リスクの規模は格段に大きくなっています。SNSのフォトアルバムから医療記録、銀行口座、そして最も重要な身分証明書に至るまで、私たちの生活のほぼすべての側面がデジタル化されています。オフラインのスタンドアロン型ソフトウェアやOSを守る時代とはわけが違います。何十億行ものコードを脅威から守り、何億人ものユーザーをリスクから保護しなければならないのです。一握りの専門家だけで全責任を負うにはあまりにもリスクが大きすぎます。だからこそ、AppSecと開発チームの間の溝を埋める必要があるのです。両者が協力し、知識を共有し、セキュリティ意識の高い一つのチームとして機能しなければなりません。

しかし、一つ問題があります。開発者がセキュアコーディングのスキルを意味のある形で学ぶ機会は、ほとんどないということです。ほとんどの高等教育ではセキュリティのベストプラクティスにほとんど触れられておらず、実務でのトレーニングも質に大きなばらつきがあります。

これほど頻繁に大規模な侵害が発生するのも不思議ではありません。AppSecチェックリストをダウンロードする。

‍

「コーディングのライセンス」

現在の厳しい状況にもかかわらず、私はセキュリティの未来に楽観的です。変化の兆しは確実にあり、現在、非常に多くの組織がセキュアコーディングを真剣に受け止めていることに、大きな希望を感じています。

開発者がセキュリティリスクを軽減するために適切なツールと知識にアクセスできること、そしてセキュリティ意識の高い文化を育むことが、データ侵害との戦いにおいて不可欠であることはますます明らかになっています。開発者がコードを書く段階からセキュリティに責任を持つようになれば、攻撃者が単純な欠陥を突いてシステムを乗っ取ることは、もはや容易ではなくなります。

以前から、セキュリティ意識の高い開発者とそうでない開発者がいることは、組織にとって大きな課題でした。社内の開発チームであればある程度のトレーニングやスキル管理が行われていますが、契約社員やフリーランス、新卒者が加わると状況は一気に複雑になります。彼らはセキュリティマインドを持って行動しているでしょうか？何十年も前から存在するクロスサイトスクリプティングのような古い欠陥を回避できるでしょうか？それを判断するのは困難ですが、彼らがソフトウェア構築の重要な部分を任されることは珍しくありません。恐ろしいことです。

幸いなことに、開発者に対する妥協のない基準を設ける動きが増えています。例えば、一部の組織ではSecure Code Warriorをツールとして活用し、開発スキルを評価して「コーディングのライセンス」を発行しています。基本的なセキュアコーディングの評価に合格しなければ、プロジェクトの作業を開始することはできません。これは、新卒者やインターンがセキュリティスキルを習得する上で非常に有益であり、同時に、安全なコードを書くことの重要性を植え付けることにもつながっています。結局のところ、ソフトウェアにおいてセキュリティは品質と同義でなければならないのです。

課外トレーニングが大学の注目を集めています。

セキュアコーディングに関する議論を変えるには、単発の記事や基調講演以上のものが必要です。コミュニティ全体を巻き込んだムーブメントにする必要があり、多くのトップ企業がこれに注目し、羨望の的となるような高水準のセキュリティプログラムを構築しているのは素晴らしいことです。その一社であるHSBCは、新卒者や新規採用者が可能な限り早い段階で「シフトレフト」の旅路に立てるよう、強力なプログラムを運用しています。HSBCインドのテクノロジーアカデミーの責任者であるSekhar Babu Tatavarti氏は、詳細なセキュリティトレーニングが不可欠であると述べています。

「HSBCテクノロジーでは、銀行を脆弱性から守るために、開発者コミュニティがセキュアコーディングの重要性を理解することを確実にしたいと考えました。今年の新卒研修プログラムでは、彼らが現場に出てプロジェクトでコーディングを始める前に、早い段階で自ら学び、セキュアコーディングのベストプラクティスを身につけさせる絶好の機会だと考えました。

私たちは、新卒者向けの素晴らしいゲーミフィケーション学習手法としてSecure Code Warriorプラットフォームを選びましたが、彼らは期待以上の成果を見せてくれました。全員がトーナメントに熱心に参加し、さらにさまざまな技術分野でホワイトベルト認定を完了してくれたことを大変嬉しく思います」と彼は語りました。

HSBCをはじめとする多くの組織が、開発者レベルでのセキュアコーディング能力を不可欠なものと見なすようになっています。その結果、高等教育全体に注目が集まっています。CISOやCIOは、なぜ新卒のエンジニアが十分なセキュリティ教育を受けずに卒業しているのか、疑問を抱き始めています。

高等教育のイノベーション

高等教育においてセキュアコーディングをソフトウェア工学の必須項目にする必要がある一方で、一部の大学では、セキュリティを現場の希少なAppSecスペシャリストだけの領域とするのではなく、開発プロセスの初期段階から不可欠な要素として優先し、最高水準のトレーニングを提供する先駆的な取り組みが行われています。

オーストラリアのクイーンズランド大学では、ライアン・コー教授が、避けられないサイバー攻撃の猛威から私たちを守る次世代の開発者を育成するために大きな前進を遂げています。

"ソフトウェアの脆弱性のほとんどはコーディング段階で発生します。そのため、その発生源であるプログラマーの段階で対処できれば、現在CVEリストに掲載されている繰り返される問題の大部分を根絶できるはずです。ソフトウェアは現代社会の生活や生計に影響を与えるため、大学や教育機関には、すべての駆け出しのプログラマーにセキュアなコーディング方法を教える道徳的・社会的責任があります"と彼は述べています。

これは、セキュリティに対する意識やスキルをほとんど提供してこなかった標準的なコースからのエキサイティングな進化です。そして、これはさらに広まってほしい「ウイルス」だと言えるでしょう。嬉しいことに、マッコーリー大学もまた、クリストフ・ドッシュ氏のような人々の尽力により、学生たちにセキュリティファーストの考え方を浸透させています。

"2016年に立ち上げられたオプタス・マッコーリー大学サイバーセキュリティ・ハブは、オーストラリアで初めての試みであり、情報セキュリティ、ビジネス、犯罪学、インテリジェンス、法学、心理学の学術研究者と、産業界や政府のサイバーセキュリティ専門家を結びつけています。

私たちの使命は、教育、研究、パートナーシップを通じて、オーストラリアをサイバーセキュリティの世界的リーダーにすることです。その重要な側面の一つが、サイバーセキュリティ分野で十分に指摘されているスキル不足の問題に対処することであり、2022年には世界中で180万人の雇用が埋まらない可能性があると予測されています。

このスキル不足を解消するには、既存の労働力のスキルアップやリスキリングに加え、次世代のサイバーセキュリティ専門家を育成するという多角的なアプローチが必要です"と彼は語りました。

彼らのアプローチは素晴らしく、部門間のギャップを埋め、セキュリティ意識を定着させるために、高いエンゲージメントを促す精密な学習を提供しています。彼らは戦略としてマイクロラーニングを活用し、高い定着率、エンゲージメント、繰り返し学習を可能にするゲーミフィケーションを取り入れた短時間の学習モジュールを提供しています。私たちが学生の創造的な関与を支援できていることを非常に誇りに思います。

"このエンゲージメントの優れた例が、Secure Code Warriorとのパートナーシップです。2019年8月にSecure Code Warriorとサイバーセキュリティ・ハブが共同開催したトーナメントを経て、現在私たちはSecure Code Warriorのプラットフォームをカリキュラムに組み込むことを検討しています。特に、新設されたセキュアアプリケーション開発のユニットでの導入を予定しています"とクリストフ氏は述べました。

マッコーリー大学やクイーンズランド大学のような取り組みは、教育現場におけるセキュアコーディングの真の先駆けです。AppSecの専門家、開発者、そしてより広範なセキュリティコミュニティとしての私たちの目標は、あらゆる活動にセキュリティを組み込み、「シフトレフト」への取り組みを継続することです。