セキュアコーディングに向けた組織の再調整：障壁、懸念、そして実践的な解決策

ハイパーコネクテッドな現代において、ほぼすべての組織が共通の弱点を抱えています。コード内のたった一つの脆弱性、ほんのわずかな綻びが、顧客データの流出や社会的信用の失墜、そして甚大な経済的損失を引き起こす引き金となり得ます。セキュアコーディングに向けた組織的な足並みの統一はかつてないほど重要になっていますが、それを実現するのは容易ではありません。そこで2020年、Secure Code WarriorはEvans Data Corp.と共同で、開発者およびマネージャーのセキュアコーディング、セキュアなコーディング手法、セキュリティ運用に対する意識調査*を実施しました。

サイバーセキュリティが最優先事項となるこの環境下で、プロジェクトの成功を測る従来のKPIは再定義されつつありますが、そのスピードは十分とは言えません。

ソフトウェア開発プロセスにおいて最も重要な優先事項について、開発者とマネージャーに尋ねたところ、以下の結果が得られました。

• 76%がアプリケーションのパフォーマンス
• 62%が機能と機能性
• そして50%強がセキュアなコードを選択しました
  

ご覧の通り、現時点ではセキュリティは最優先事項とは見なされていません。

しかし、将来に目を向けると状況は劇的に変化します。プロジェクトの成功を測る上で最も重要な将来の優先事項について尋ねたところ、開発者の79%がセキュアコーディングの重要性が高まると回答しました。実際、開発者はセキュリティこそが今後最も重要度が増すKPIであると捉えています。

セキュアコーディングへの意識は高まっているものの、その導入には懸念も存在します。開発者にとってもマネージャーにとっても、脆弱性への対応やコードに対する責任を負うことは、夜も眠れないほどの重圧となっています。私たちの調査*によると、両グループは共通の懸念を抱いており、これはセキュアコーディングの実践に向けたより良いトレーニングの必要性を示唆しています。

セキュアコーディングの実践における懸念と障壁

開発者が抱える最大の懸念は、「過去の脆弱性を繰り返すコードを含めてしまうこと」です。コードの品質で評価される開発者にとって、これは当然の懸念と言えます。どの開発者も、セキュアでないコードや、手戻りが発生してチームの足を引っ張るようなコードの源にはなりたくないと考えています。

開発者にとって二番目に大きな懸念は、同僚が持ち込んだミスへの対応です。納期遵守やコードに対する責任も上位に挙がっており、セキュアコーディングの学習が困難であるという点も、現在のトレーニング手法に対する開発者の不満を反映しています。

一方、マネージャーはより俯瞰的な視点を持っています。彼らの最大の懸念は、不適切なコードや過去の脆弱性を繰り返すコードに対して責任を負うことです。結局のところ、チームが質の低いコードを作成すれば、最終的な責任はマネージャーに帰するからです。

学習プロセスが困難であるという点が3番目に挙がりましたが、これがセキュアコーディングの実践における唯一の障壁ではありません。

45%がステークホルダーと経営層とのコミュニケーション不足を大きな障壁として挙げ、42%が新規採用者のセキュアコーディングスキルの欠如を嘆いています。 同時に、40%がトレーニングの時間とリソースの不足を指摘しました。

現在のセキュアコーディングのトレーニング手法は成果を上げておらず、マネージャーも新しいアプローチが必要であると認識しています。

セキュアコーディングの実践に責任を持つのは誰か？

セキュアコーディングの本質とは、SDLC（ソフトウェア開発ライフサイクル）のより早い段階でセキュリティを考慮することにあります。それは、後回しにするのではなく、ソフトウェアの作成開始時点からセキュリティを積極的に組み込むことを意味します。言い換えれば、「シフトレフト」です。この「シフトレフト」こそがセキュアコーディングの実践の核心であり、最終的には組織内の全員がセキュアなコードに対して責任を持つべきであることを意味します。しかし現時点では、そう考えている開発者はわずか15%に留まっています。

しかし、依然として多くの開発者がセキュリティを「誰か他の人の問題」と捉える一方で、少数ながらもセキュアコーディングを積極的に受け入れ、組織内で推進する層が育ちつつあります。調査対象の開発者の29%が、職場にそのような中心人物が存在すると回答しました。問題は、こうしたセキュアコーディングの推進者がまだ圧倒的に不足していることです。

セキュリティチャンピオンの育成

開発マネージャーは、新たなセキュリティチャンピオンを発掘・育成し、開発者全体のセキュアコーディングスキルを向上させる必要性を認識しています。

多くのマネージャーは、新規採用時にセキュアコーディングスキルを重視しており、既存チームのメンバーに対しても同様の経験を高く評価しています。

調査対象となったマネージャーの83%が、開発者にセキュアコーディングの実践を求めていると回答しました。また、約4分の3が、セキュアコーディング研修への参加を促すインセンティブを提供していると回答しています。その内容は、公式な表彰から責任ある業務の付与、昇給まで多岐にわたります。

開発マネージャーが組織レベルでのセキュアコーディング導入において重要な影響力を持ち、セキュリティチャンピオンを見出す鍵を握っていることは明らかです。

しかし、チャンピオンを増やすにあたり、開発者がセキュアコーディングを学ぶ動機は何なのでしょうか。調査によると、開発者はそれを生産性と効率を高める手段と捉えています。

では、なぜ開発者はセキュアコーディング研修を積極的に求めないのでしょうか。組織のニーズが高まる中で、何が障壁となっているのでしょうか。

再調整に向けた解決策

開発者は座学を好まず、実際に手を動かして試すことを望んでいます。彼らが求めているのは実践的な応用であり、現在の研修プログラムにはそれが著しく欠けています。企業研修の改善点として、30%の回答者が「実践的な応用、特に実際の業務シナリオに基づいた内容」を挙げています。

従来の研修手法では、このニーズを満たせません。変革の旗手であるSecure Code Warriorは、人間中心のアプローチで組織のセキュアコーディングへの再調整を支援します。当社のサイバーセキュリティコースは、開発者が現実の業務で直面する課題を模した、実践的でゲーム感覚のコーディングチャレンジを含むガイド付き学習パスを提供します。

この研修は言語やフレームワークに特化しており、聞き流されがちな一般的な研修とは一線を画しています。

組織文化の再調整には、トーナメントが有効です。これにより、開発者のセキュリティスキルを測定し、今後のスキル開発の基準を確立するとともに、チーム内の潜在的なセキュリティチャンピオンを発掘できます。

マネージャー、開発者、そして組織のニーズを一致させ、セキュアコーディングの未来を築くための研修について詳しく知りたい方は、デモをご予約ください。

*Shifting from reaction to prevention: The changing face of application security. Secure Code Warrior and Evans Data Corp. 2020