チームの力：コミュニティ精神が育む、よりセキュアな開発者たち

「村全体で育てる」という言葉は、アフリカの古いことわざであり、多様な文化や方言、地域を超えて語り継がれてきました。表現される言葉は違えど、その本質は同じです。次世代を健全な大人へと育てるためには、コミュニティ全体が関わり、安全で前向き、かつ啓発的な環境を作り出す必要があるということです。

少し大げさに聞こえるかもしれませんが、開発者コミュニティは何十年もの間、まさにこの原則によって発展してきました。コンピュータに向かって一人で作業する「一匹狼」のエンジニアというイメージは、多くのステレオタイプと同様に誇張されたものであり、私たちの実態を正しく表してはいません。開発者はあらゆる背景を持ち、多種多様な人々で構成されています。私たちの活動の根底には、常にコミュニティの精神が息づいています。

インターネットが普及するずっと前から、私たちは掲示板でヒントを共有し、互いの問題を解決し、ベストプラクティスについて議論を交わしてきました（もちろん、私自身はシステムを壊すことに夢中でしたが）。この精神は今も変わっていません。インターネットは当時とは様変わりし、荒らしやノイズも増えましたが、RedditやStack Overflowのような場所を覗けば、今でも助け合いの精神や仲間意識、そして膨大な知識が共有されていることをすぐに実感できるはずです。

しかし、私たちがもっと大切にできるのは、同じ経験をしている人たちとのリアルなつながりです。対面での交流にはオンラインとは異なる深みがあり、オフラインのコミュニティを促進することで、知識の共有や理解が深まり、視野が大きく広がります。

開発者コミュニティは、どのようにセキュリティを支えているのでしょうか？

Organizations like OWASP are doing incredible work in the security community, with abundant free resources on vulnerabilities, news, and critical alerts. Offline, there are OWASP chapters in cities all over the world, hosting regular events for people to come together, talk security and share tips for making our software safer. It really is awesome, and to me, it's what the development community is all about.

オンライン・オフラインを問わず、こうしたコミュニティが解決の一助となっているのが、開発者間のスキルや知識のギャップです。経験豊富な開発者の多くは、知識を惜しみなく共有し、初心者の手助けをしたり、正しい方向へ導いたりすることを喜んで行います（優れたジェダイがパダワンを導くように）。

そのため、私たちが彼らと協力してセキュアコーディングトーナメントのようなイベントを開催できることは、いつも大きな喜びです。これまでにオーストラリア、イギリス、インド、アメリカでミートアップを支援してきましたが、今後もさらに多くの機会があることを願っています。

OWASPのトーナメントミートアップはどのようなものか、ロンドンの象徴的なBBCスタジオで開催されたトーナメントの動画をご覧ください：

こうしたイベントは意識向上に確実に貢献します。組織がこうした草の根の取り組みを支援し、本格的なセキュアコーディングトレーニングを導入し、ポジティブなセキュリティ文化の醸成に取り組むことで、その勢いを組織内で活かすことができます。

How do gamification and tournaments help create more secure developers?

OWASPのミートアップは、交流や知識の共有、そしてセキュリティ意識の高い人々とのアイデア交換を目的としています。しかし、セキュリティ初心者やまだ関心を持っていない人にとっては、こうしたイベントは目に入らないかもしれません。

組織がセキュリティ意識の向上や開発者の関心を高める役割を積極的に担うことで、生涯にわたってセキュリティ知識を追求する姿勢を育むという好循環が生まれます。これこそが、誰もが真剣にセキュアコーディングに取り組むために必要なことなのです。

従来のトレーニング手法は、モチベーションを維持するのが難しいものです（日々の業務が溜まる中で教室に座り続けたり、終わりのない動画を見て眠気と戦ったりすることを想像してみてください）。しかし、競争心や楽しさを取り入れ、プロセスをゲーム化することで、学習は苦痛ではなくなります。ゲーミフィケーションを用いた学習は、技術的で時に退屈な知識を消化しやすくし、文脈に沿った、記憶に残りやすく、繰り返し学習を促す小さな単位に分解してくれます。Secure Code Warriorはアクセシビリティを基盤として構築されており、開発者が自身の創造性や問題解決の本能を活かしながら、段階的に知識を積み重ねていけるよう設計されています。

評価は、全員の進捗を把握し、改善点を見つけるのに役立ちますが、セキュアコーディングトーナメントは、組織のセキュリティ意識を高め、前向きな変化を促す触媒となります。また、参加者が自身のスキルを披露する場でもあります。トーナメントのリーダーボードがリアルタイムで更新されるのを見れば、より多くのポイントを獲得して自分のセキュリティスキルを証明したいという意欲が湧いてくるはずです。

成功するトーナメントとはどのようなものでしょうか？

OWASPとのミートアップの目的は、常にセキュリティコミュニティの健全な発展に貢献することであり、セキュリティの学習は楽しいものになり得るという考えを広める手助けをすることです。

セキュアコーディングトーナメントは、開発者の意欲を引き出し、同じ志を持つ仲間との交流を通じてスキルを磨き、発揮してもらうための最適な手段です。また、過去の仕事や学習でのネガティブな経験から「セキュリティ」に対して抱きがちな心理的な壁を取り払う助けにもなります。

優れたトーナメントには、通常以下の要素が含まれています。

• 組織全体での盛り上げ：開発チーム以外の人々にも、何が行われ、なぜ重要なのかを周知する
• 批判のない環境：あらゆるレベルの開発者をサポートする
• 特別な特典：食事や飲み物を用意し、テーマを設定して自己表現を促す
• 報酬と称賛：開発者はノベルティを好む傾向があり、勝者への素敵な賞品は大きな励みになります。このプロセスを通じて、将来のセキュリティチャンピオンが発掘されるかもしれません
• コミュニティと仲間意識の醸成。

DevSecOpsが主流となる中、ソフトウェア開発の初期段階からセキュリティが重視されるようになっています。そのため、開発者には早い段階から効果的なトレーニングを提供し、関与してもらう必要があります。コードを書くその瞬間から組織を脆弱性から守るために開発者の存在は不可欠であり、セキュリティ文化が根付くことで、誰もがより安心して業務に取り組めるようになります。