成功のための10のイネーブラーのご紹介

人々とプロセス

セキュアコーディングプログラムは誰でも構築できますが、永続的な成功を収めるのはより複雑な取り組みです。課題は、プラットフォームの選定やプログラムの立ち上げだけでなく、多様な利害関係を持つチームが混在する組織に、いかに効果的に統合していくかにあります。

プログラムの推進役がAppSec、L&D、DevOps、あるいはエンジニアリング部門のいずれであっても、成功するプログラムの構築には人々とプロセスの両方が不可欠です。

そこで役立つのが「成功のための10のイネーブラー」です。全12回のブログシリーズを通じて、あらゆる組織が効果の高いセキュアコーディングプログラムを構築、維持、拡大するための実証済みの運用ブループリントを公開します。

Secure Code Warriorのカスタマーサクセスチームは、主要な貢献者であるジム・ローラン氏と共に、10年以上にわたる大手企業での経験に基づき、導入、利用、開発者の定着を促進し、長期的な価値を生み出すための10の重要な要素を特定しました。

成功のための10のイネーブラー

これからの10回のブログ記事で、各イネーブラーについて深く掘り下げていきます。これらのステップを適切に実行することで、プログラムの成熟度を高め、開発者を組織の「第一の防衛線」へと変革することができます。

イネーブラーの内容は以下の通りです。

1. 定義され測定可能な成功基準：ビジネス成果に直結するプログラム目標を設定し、関連性を高め、投資収益率を追跡します。
2. 経営層のスポンサーシップ：経営陣の賛同を得て、プログラムの円滑な展開と部門間のサポートを確保します。
3. 開発者向けコミュニケーション計画：継続的で魅力的かつ有益な情報発信を行い、プログラム期間中、開発者の関心をつなぎ止めます。
4. ユーザーアクセスの障壁低減：SSOなどのツールを活用し、開発者が関連プラットフォームへ迅速かつ容易にアクセスできるようにします。
5. 認定プログラム：多段階のプログラムを導入し、継続的な学習を通じて開発者の成長を管理し、達成感を提供します。
6. 経営層への定期的な報告：進捗状況を共有し、成果を称え、影響力を示す一貫した報告を行い、経営陣の継続的な支持を得ます。
7. 開発者の表彰：成果やトーナメントの結果を共有し、成功を広く称えることで、開発者の意欲を高めます。
8. プログラムのブランディング：「ASC（アプリケーションセキュリティチャンピオン）」のような認識しやすいブランド名や略称を開発者コミュニティに浸透させ、プログラムの定着を図ります。
9. 開発エコシステムとの統合：APIや統合機能を利用してデータを充実させ、既存の開発ワークフロー（JIRAやLMSなど）にセキュアコーディングトレーニングを組み込みます。
10. キャリア形成と連動したトレーニング：人事部門と連携し、トレーニング（認定など）を開発者の目標設定、人事評価、年間ボーナスに組み込みます。

プログラム成熟への道

セキュアコーディングプログラムの構築段階に関わらず、これらのイネーブラーの実装はプログラムの成熟度と直接相関します。プログラムの成熟度は、いくつのイネーブラーが機能しているかによって測定できます。

1〜3つのイネーブラーが実装されている場合、組織はまだセキュアコーディングプログラムを定義している段階です。プログラムは初期段階にあるか、あるいは展開中である可能性が高く、成長に伴う成熟の余地が十分にあります。

4〜6つのイネーブラーが実装されている場合、プログラムは導入段階にあります。プログラムは組織のセキュリティ文化に継続的に統合されており、完全な導入に向けて成熟・最適化が進んでいる状態です。

最後に、7〜10のイネーブラーが実装されている場合、プログラムは拡大段階にあります。
この段階では、セキュリティが組織文化に深く根付いており、トレーニングは開発者のツールエコシステムだけでなく、達成感やキャリア形成とも結びついています。

どの段階にいる場合でも、まずはイネーブラー1：定義され測定可能な成功基準から、各イネーブラーの詳細を一緒に探っていきましょう。

‍ご質問はありますか？

既存のお客様は、担当のアカウントチームまたはsupport@securecodewarrior.comまでお問い合わせください。新規のお客様は、こちらから弊社営業チームまでお問い合わせください。