Secure Code Warrior CEO兼共同創業者、ピーター・ダンヒュー氏：「誰もがサイバーセキュリティにおいて自分が果たすべき役割を理解し、受け入れるべきです」

本インタビューは、CyberNewsに掲載された記事の転載です。

‍

セキュリティツールやサービスが普及しているにもかかわらず、企業は進化し続ける脅威の状況に対応するのに苦慮しています。

これは、開発者のセキュリティ意識やトレーニングが不足していることに起因しており、リスクのあるコードがリリースされ、悪意のある攻撃者に悪用される事態を招いています。ウイルス対策ソフトや強力な脆弱性スキャンソリューションといったセキュリティ対策は、セキュリティ層を強化する一方で、最も重要なのはセキュリティを重視した開発チームであると、本日のゲストは語ります。

開発者がセキュリティ上の脅威を特定し、軽減するためのトレーニング方法について議論するため、CyberNewsチームはSecure Code WarriorのCEO兼共同創設者であるPieter Danhieux氏にインタビューを行いました。同社は、開発チームがセキュリティ脆弱性に対処するための学習プラットフォームと開発者向けツールスイートを提供しています。

これまでの歩みについて教えてください。Secure Code Warriorのアイデアはどのようにして生まれたのでしょうか？

若い頃の私は、テクノロジーを分解して中身や仕組みを調べることに夢中なオタクでした。家族や家電製品をヒヤヒヤさせたことでしょうが、やがて私は同じアプローチをハードウェアやソフトウェアに向け、侵入や破壊の方法を探るようになりました。こうしてセキュリティへの生涯の情熱が芽生え、長年にわたり、ソフトウェアの欠陥を見つけ、利用し、悪用する方法を学生や同僚、セキュリティコミュニティに共有することに注力してきました。その後、私は守る側のスキルアップに焦点を移し、教室環境で開発者に安全なコーディングパターンを教え、一般的な脆弱性を理解し、それを回避する方法を指導するようになりました。また、コンサルティング業務では、大企業に対して、特に開発者の関与という観点からセキュリティプログラムを改善する方法をアドバイスしていました。その時期に、現在のSecure Code Warriorの共同創設メンバーと出会いました。私たちは、コードレベルの脆弱性に関してセキュリティチームと開発チームの両方が直面している課題や、開発者のセキュリティスキル向上を目的とした既存のトレーニングソリューションの問題点を共有しました。私たちは、エンタープライズレベルで拡張可能でありながら、開発者にとって楽しく魅力的な学習プラットフォームを作るというビジョンに向けて動き出しました。最終的に私たちが目指したのは、開発者の作業環境に最適化され、業務の妨げにならず、セキュリティファーストの考え方を構築できるツールスイートを作ることでした。そして、可能な限り多くの言語に対応し、コンテンツを充実させることを目指しました。

貴社の事業内容について教えていただけますか？また、どのような課題の解決を支援しているのでしょうか？

私たちは、コード内の不適切なセキュリティパターンによって生じる摩擦や遅延を取り除くことで、企業のソフトウェア開発の加速を支援しています。私たちは、開発チームが一般的なセキュリティ脆弱性に対処するための学習プラットフォームとツールスイートを構築しました。こうした脆弱性の多くは何十年も前から存在しており、現在も企業をサイバーリスクにさらしています。これらが根絶されない理由は、開発者がコードレベルの問題を修正するためのトレーニングやスキルを欠いており、不適切なコーディングパターンや手法を使い続けることで、そもそも脆弱性を生み出してしまうからです。大学レベルでセキュアコーディングを学ぶ機会は少なく、職場のトレーニングプログラムの多くは、日常業務に関連した内容を提供できていないか、頻度が少なすぎてコードの品質やセキュリティに長期的な影響を与えられていません。私たちのソリューションは、コーディングの行動を変え、現実世界でセキュリティを最優先に考えられるようになる、魅力的で関連性の高いスキル開発を提供することを目指しています。開発者が最も慣れ親しんでいる環境との統合を進めており、文脈に応じた学習に重点を置くことで、教育成果を最大限に定着させます。また、開発者がセキュリティをポジティブで楽しいものとして捉え、成功を称え合い、コミュニティを築けるような環境作りにも努めています。

セキュアコーディングの学習は退屈に思われがちですが、どのようにして効果的かつ楽しいトレーニングを実現しているのでしょうか？

当社の主力学習プラットフォームは、開発者のエンゲージメントを第一に考えて設計されています。最も人気のある機能の一つが「トーナメントモード」で、参加者はトレーニングで得た知識を同僚と競い合うことができます。正解するごとにポイントが加算され、セッション中はライブリーダーボードが更新されます。コミュニティイベントやカンファレンスでこのトーナメントを開催したこともあり、顧客の中には、全員が仮装して参加するような非常に凝ったテーマで開催したところもあります。これは素晴らしいチームビルディングの体験であり、ピザや賞品を楽しみながら、日々のルーチンから離れてスキルアップへの取り組みを称え合う絶好の機会となっています。さらに、当社のコンテンツは60以上のプログラミングフレームワークに対応しており、開発者が日常業務で目にする実際のコードスニペットを使用しています。動画を見たり、年1回のコンプライアンス試験を受けたりするよりも、コンテンツが非常に実践的で、実際の課題解決に役立つ方が、はるかに意欲を維持しやすいのです。

現在、開発者が直面している主な課題は何だとお考えですか？

まず、開発者は本来優れた仕事をしたいと願っているものの、教育やキャリアの中でセキュリティに関する十分な準備ができていないという点を認識することが重要です。これが、セキュリティの観点から彼らが直面する多くの問題の核心です。また、開発者はセキュリティを自分の責任範囲外と見なす傾向があり、大多数の組織において、KPIにセキュアコーディングの成果に関連する項目が含まれていません。コードレベルの脆弱性を減らすには、この現状を打破する必要があります。しかし、開発者が変化を起こすためには適切なサポートとツールが必要です。課題は、効果的な能力開発を行い、トレーニングの時間を確保し、将来的にスピード感を持ってセキュリティを実現するために、今スキルアップに投資することにあります。

最近の世界的な出来事は、貴社の業務にどのような影響を与えましたか？

現在の世界情勢は、あらゆる企業の目標、予測、予算に何らかの影響を与えていますが、幸いにも私たちは今日までこの嵐を乗り越えることができています。サイバーセキュリティは、ほとんどの企業にとって妥協できない要素であり、私たちはクライアントや見込み客との対話において、その重要性を維持できるよう懸命に取り組んでいます。

ソフトウェアやアプリケーションを開発する際、組織が従うべきベストプラクティスは何でしょうか？

組織ごとに特性は異なりますが、一般的に優れたセキュリティプラクティスを実践している企業は、固定観念にとらわれず、異なるアプローチを試す意欲を持っています。彼らは、セキュリティの成果にポジティブな変化をもたらす「人」の力を忘れていません。多くの場合、セキュリティプログラムにおいて開発者はあまり考慮されていません。しかし、世界的なセキュリティ人材不足がすぐに解消される見込みがない中、セキュリティの知識を備えた開発者は、ソフトウェア作成の観点からリスクを軽減し、コンプライアンスを達成する助けとなります。彼らは、プロセスの最も早い段階で、最も低コストに影響を与えることができるのです。

セキュアコーディングツール以外に、ビジネス運営を強化し、かつ安全にするための対策や実践にはどのようなものがあるとお考えですか？

すべての企業は、役割に応じた何らかのセキュリティトレーニングを実施すべきです。コードレベルの脆弱性以外にも、攻撃者が悪用を狙う脅威は数多く存在します。そのため、組織の全員がそれぞれの業務に関連するセキュリティ原則を定期的に学ぶ必要があります。オフィス管理者から経理チームに至るまで、誰もがサイバーセキュリティ対策と意識向上において自分たちが果たすべき役割を理解し、受け入れることが重要です。

現在の経済状況下で、CISOは最小限のコストでビジネスの安全を維持するという大きなプレッシャーにさらされています。彼らにどのようなアドバイスを送りますか？

この状況下では、CISOには創造性が求められます。特にサイバーセキュリティ関連の法規制が厳しさを増しており、侵害発生時にCISOが個人的な責任を問われるケースも出てきています。さらに人員削減も重なり、より少ないエンジニアが、これまでと同量のソフトウェアを開発しながら、より多くの責任を負わなければならない状況にあります。CISOは、開発の大きな足かせとなっている「セキュリティ」という課題に対処することで、ビジネスの成功を後押しできるはずです。

コードレベルの脆弱性や設定ミスに対処するコストが最も低いのは、ソフトウェアを出荷する前です。当然、開発者はそのリスクを軽減する絶好の立場にあります。しかし、それを実現するには適切なサポートが必要です。開発者ファーストのツールを提供し、現在のワークフローや技術スタックを考慮に入れれば、スピードを維持したままセキュリティを確保することは可能です。高速かつ正確にセキュリティを実現するには、セキュアなコーディングパターンを提示し、迅速な修正を支援する環境を整えることが最善です。

包括的な開発者トレーニングに投資すれば、脆弱性を根本から排除し、ソフトウェア開発ライフサイクル（SDLC）の後半で発生する時間とコストを削減できます。大規模な攻撃が頻発し、CISOの責任がかつてないほど重くなっている今、「サイバーセキュリティ人材の不足」を言い訳にするのはやめるべきです。防御的なセキュリティ実践を優先し、目の前にいる人材のスキルを高めていくことが重要です。

Secure Code Warriorの今後の展望を教えてください。

私たちは今後も、開発者を第一に考えたソリューションを提供し、革新を続けていきます。機能提供のスピードを落とすことなく、また複数の優先事項を抱える開発者の負担を増やすこともなく、セキュリティを実現できるよう支援することに注力しています。

私たちは、組織が防御的なセキュリティプログラムを刷新できるよう支援することを目指しており、セキュリティ意識の高い開発者がその物語の主役となることを願っています。今後の展開にご期待ください。