マネージャーとセキュリティの推進役。彼らはセキュアコーディングの実践を導き、周囲に大きな影響を与える重要な存在です。
.avif)
現在、セキュアなコーディングの実践は全員の責任であると同意している開発者はわずか15%に過ぎません。セキュリティの脅威が増大する世界において、これでは不十分です。何らかの対策が必要です。健全なAppSec文化を築く鍵は、その背景にある重要な影響力（そしてインフルエンサー！）を理解することにあります。そこで2020年、Secure Code WarriorはEvans Data Corp.と共同で、セキュアコーディング、セキュアなコーディングの実践、およびセキュリティ運用に対する開発者とマネージャーの意識に関する一次調査*を実施しました。
セキュアコーディングの実践を不可欠なものとして導入するにあたり、特定の役割がますます大きな影響力と発言力を持つようになっており、それが周囲の学習やベストプラクティスの導入を促す助けとなっています。
その一つ目が開発マネージャーです。彼らは、AppSecに消極的な開発者をセキュアコーディングの考え方へと導いています。開発マネージャーは、自身とチームがセキュアコーディングのスキルセットを向上させる必要があることを認識しています。調査対象のマネージャーの42%が、新規採用者のセキュアコーディングスキル不足を嘆いています。
二つ目が「セキュリティチャンピオン」です。依然として多くの開発者がセキュリティを他人の責任と考えている一方で、セキュアコーディングを積極的に受け入れ、仲間の開発者に推奨する小規模ながらも成長中のグループが存在します。調査対象の開発者の25%が、セキュアコーディングへの変革を主導する頼りになる存在がいると回答しています。
こうしたチャンピオンは、単なる開発者やシニア開発者である場合もありますが、組織をプロアクティブなセキュリティ体制へと移行させる上で絶大な影響力を発揮し得ます。
まずは、この文脈における開発マネージャーの役割を見ていきましょう。
調査対象のマネージャーの83%が、開発者にセキュアコーディングの実践を学習または導入するよう求めていると回答しています。また、約4分の3のマネージャーが、開発者がセキュアコーディングのトレーニングに取り組むためのインセンティブを提供していると回答しています。
- 67%が、セキュアコーディングの実践を習得したことへの評価として、より大きな責任を任せる可能性があると回答しています。
- 47%が、昇給の可能性があると回答しています。
多くのマネージャーは、新規開発者の採用時にセキュアコーディングのスキルを重視しており、既存チームの開発者に対してもその経験を高く評価しています。
組織レベルにおいて、開発マネージャーがセキュアコーディングの実践導入を推進する重要な原動力であり、開発者の中からセキュリティチャンピオンを見つけ出す上で不可欠な存在であることは明らかです。
セキュリティチャンピオンの特定
セキュアコーディングのトレーニングや意識向上プログラムへの開発者の関与を改善する鍵の一つは、現在の開発者グループの中からセキュリティの提唱者やチャンピオンを特定することです。
すでにこれに取り組んでいる開発マネージャーもおり、調査対象の55%が、特別なイベントで優れた成果を上げた開発者を評価していると回答しています。
セキュアコーディングの変革を推進するチャンピオンとして、Secure Code Warriorは、特別なイベントやコンテストが組織の開発者の能力を最大限に引き出す力を持っていることを理解しています。そのため、私たちは「トーナメント」を学習プラットフォームの主要な柱として位置づけています。
セキュリティ意識と当事者意識の向上
さまざまな課題、制限時間、リーダーボード、賞品を備えたトーナメントは、セキュアコーディングを魅力的なものにし、セキュリティ意識と当事者意識を促進する活気をもたらします。
セキュアコーディングトレーニングの効果測定に関して、調査対象の開発マネージャーの65%が、定期的なスキル評価が組織のセキュアコーディングへの注力を促進していると回答しています。トーナメントを活用すれば、アクティブかつ安全な環境で開発者のセキュリティスキルを測定し、将来のスキル開発に向けたベースラインを迅速に確立できます。このゲーミフィケーションを取り入れたトレーニングは、開発者が現実世界で直面する課題を模したチャレンジを通じて、関連するプログラミング言語やフレームワークにおける文脈に沿った実践的な経験を提供します。
トーナメント期間中、開発者はポイントを獲得し、リーダーボードの順位が上がっていく様子を確認できます。リーダーボードを見ることで、管理者は開発チーム内でセキュリティの推進役となる人材を見極めることができます。
開発者の意欲を高め、セキュリティの推進役を特定できるゲーミフィケーションを活用したトレーニングで、セキュアコーディングのスキルと意識を向上させる方法について詳しく知りたい方は、デモをご予約ください。
*Shifting from reaction to prevention: The changing face of application security. Secure Code Warrior and Evans Data Corp. 2020
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
