OWASP AppSec Day 2019：セキュアな開発者を育むために

今月初め、美しいメルボルンで開催されたOWASP AppSec Day 2019に参加する機会がありました。開発者向けのイベントは、私の年間スケジュールの中でも特にお気に入りの一つです。ソフトウェアエンジニアや専門家が日々の業務でセキュリティを推進できるよう、たゆまぬ努力で教育と支援を続けるコミュニティの存在を改めて実感し、身が引き締まる思いがします。

ゲストの顔ぶれは素晴らしく、多様性に富んでいて刺激的でした。この業界で長年働いてきた今でも、こうしてインスピレーションを得られるのは本当に嬉しいことです。Tanya Janca氏、Toni James氏、そしてTeri Radichel氏によるプレゼンテーションは圧巻でした。また、WireghoulことEldar Marcussen氏による即興のセキュアコーディングチャレンジは会場全体を沸かせましたが、参加者の間に深いセキュリティ意識が根付いていることを目の当たりにできたのは素晴らしい体験でした。

今年、Secure Code Warriorはプラチナスポンサーとしてイベントに参加しました。4年前、駆け出しのスタートアップだった私たちに、OWASP AppSec Dayのチームがブースの無償提供やプロモーションで手を差し伸べてくれたことを思い出し、思わず笑みがこぼれました。会社としてここまで成長できたことを誇りに思うと同時に、このような寛大で素晴らしい人々のコミュニティが存在することに感謝の念を抱きました。

Toni James氏：開発者の視点から見たセキュリティ

今、世界で最も育むべきものがあるとすれば、それは「共感」です。ソフトウェア全体の安全性を高めるには、開発者が抱える苦悩を理解することが不可欠です。

Toni氏のプレゼンテーションは非常に興味深く、すべての開発者が共感できる内容だったはずです。「セキュアなコードを書く」という言葉以上に深い背景があり、セキュリティ教育を受けた開発者こそが脆弱性との戦いにおける最大の武器であると確信していますが、彼らが日々直面する課題を考慮することは極めて重要です。

ソフトウェア開発者の仕事は、何百万人ものユーザーの目に触れ、重要なインフラを支え、私たちが当たり前のように利用しているサービスの原動力となっています。機能開発、ビジネスイノベーションの実行、そして厳しい納期を守るというプレッシャーの中で、AppSecチームから厳しい指摘を受けることも少なくありません。Toni氏は、こうした環境での実態と、双方が共感を持つことでプロセスやセキュリティの成果がいかに向上するかを語りました。開発者とAppSecチームの溝を埋めるための健全な取り組みが進んでいることを非常に嬉しく思います。結局のところ、これはポジティブで活気あるセキュリティ文化を築くための重要な要素であり、Toni氏はその成功例を体現しています。

Tanya Janca氏とTeri Radichel氏：セキュリティのスーパーヒロイン

優劣をつけるわけではありませんが、Tanya Janca氏とTeri Radichel氏の貢献は、今回のカンファレンスの中でも特に印象的でした。DIYクラウドセキュリティ評価に関するチュートリアルが始まって10分で、彼女たちの豊富な経験と専門知識、そして知識を共有し開発者コミュニティを支援したいという心からの情熱が伝わってきました。二人は、Azure環境を安全に保つための現実的かつ実行可能なアクションを提示し、セキュリティポリシーの設定や最小権限の原則に関する実践的なアドバイスを提供してくれました。

Googleで検索すれば、彼女たちが草の根レベルで開発者を支援するために、無料のリソース提供やメンタリング、ソフトウェアセキュリティの楽しさを伝えるインタビューなど、多大な貢献をしていることがすぐに分かります。彼女たちはコミュニティにとって不可欠なインスピレーションの源です。次に参加するセキュリティカンファレンスで彼女たちが登壇するなら、見逃す手はありません。

大舞台に立つクライアント

多くのクライアントが参加するだけでなく、ステージに立ち、自身の深いセキュリティ知識を聴衆と共有している姿を見られたのは素晴らしいことでした。

私たちはTelstraのAndrew Bailey氏による「Adding the 'Sec' to DevOps（DevOpsに『Sec』を加える）」という重要な講演を聴くことができました。シニアソフトウェアエンジニアとしての豊富な経験を持ち、現在はアプリケーションセキュリティとセキュアコーディングに注力している彼の視点は非常に示唆に富むものでした。彼は、SDLCのあらゆる段階にセキュリティを組み込むためのエンドツーエンドのヒント（もちろん、開発者へのセキュアコーディング教育を最初に行うことの重要性を含む）を提示してくれました。

Ken Johnson氏はGitHubのセキュリティチームの一員であり、カンファレンスの最後に行われた専門家パネルディスカッションに参加する姿を見ることができ嬉しく思いました。彼は他のパネリストと共に、メディアではあまり注目されないような聴衆からの鋭い質問にも快く答えてくれました。業界の知見に加え、開発者の燃え尽き症候群が問題となる現代において非常に重要な、ウェルビーイングとワークライフバランスの重要性についても議論を深めてくれました。

Julian Berton氏とOWASPメルボルンチームの皆さんに、素晴らしいカンファレンスを再び開催してくれたことに心から感謝します。また来年お会いしましょう（今度はもっとステッカーを持って）。