セキュリティを強化するための開発者教育の再考

Secure Code Warriorのアジャイル学習が脆弱性を削減する仕組み

進化が求められるセキュリティ教育

今日のセキュリティチームが直面している課題の一つは、開発サイクルの早い段階でセキュアコーディングを統合するための時間が十分に確保できないことです。また、セキュリティリーダーは、セキュアコーディングの学習体験が開発者にもたらす価値を再考し、プログラムをより魅力的で、何よりもインパクトのあるものにする方法を検討する必要があります。セキュリティ教育プログラムが生産性を阻害するものと見なされることだけは避けなければなりません。開発者向けのセキュリティトレーニングは、魅力的な学習パス、ワークフローへの統合、そして概念の定着を助ける幅広いコンテンツに基づいて構築されるべきであり、その結果として脆弱性の混入を削減できるはずです。

セキュアコーディングの学習を開発者のワークフローに統合し、時間的負担を軽減することで、開発者はより安全にコーディングする能力を大幅に向上させ、生産性を高めることができます。Secure Code Warriorが当社のプラットフォームを利用する75,000人以上の開発者のデータを分析したところ、アジャイル学習によって開発者がコードベースに混入させる脆弱性を53%削減できることがわかりました。

これにはアプローチの転換が必要です。開発者がより実践的な学習やツール・環境との統合を通じて学習に意欲的に取り組み、深いエンゲージメントと大きなインパクトをもたらすマイクロラーニングの機会を創出することが求められます。

アプリケーションセキュリティのリーダーであるデレク・フィッシャー氏は次のように述べています。「私たちは皆、組織で義務付けられている年次コンプライアンス研修に精通しています。それは私が『パワーポイントによる死』と呼ぶもので、スライドの羅列と最後に簡単なテストがあるだけ……非常に非効率で時間がかかるものです。以前は研修を行っていましたが、それはスライドや音声録音に基づいた、一般的なコンプライアンス研修と一部のセキュリティ特化型研修でした。開発者が教材からあまり学んでおらず、関心も低いことに気づき、戦略を転換する必要がありました。」

学習体験を開発ワークフローに統合する

Secure Code Warriorのプラットフォームは、開発者の日常的なワークフローの中に、必要な時に必要なマイクロラーニングコンテンツを提供します。このセキュリティツールとの統合は、コンテキストスイッチを排除し、AppSecチームがより指示的で魅力的なプログラムを構築できるように設計されています。

これらの開発ツールおよびセキュリティ統合を活用することで、開発者の進捗状況の追跡やチケットへの対応時間の測定、さらにはIAST/DAST/SASTツールを通じた脆弱性の経時的な減少を観察することで、セキュアコーディング学習プログラムの効果を測定できます。

Secure Code Warriorがツールやワークフローと統合し、脆弱性を最大53%削減するための3つの主要な方法をご紹介します。

1. アプローチを効率化する

Secure Code Warriorをスキャンツールやペネトレーションテストツールと統合します。これにより、特定の脆弱性を自動的に関連付け、修正に必要な信頼できる学習コンテンツを開発者に提示できます。Secure Code Warriorは、Synopsys、Snyk、Bugcrowd、Fortify、Contrastなど多数のツールと統合されており、プログラムの焦点を絞り込むのに役立ちます。

2. 生産性を向上させる

Jira、Gitlab、GitHub、Azure Boardsに組み込まれた実践的なチャレンジ、コーディングラボ、ガイドラインを通じて、開発チームが「やりながら学ぶ」ことを可能にします。学習は数時間ではなく数分で完了するため、開発者の生産性を妨げたり、フローを中断させたりすることはありません。

2. プログラムを拡張する

エンタープライズ向けに構築されたSCORMおよびSCIM機能により、セキュリティプログラムの管理負担を軽減します。Secure Code WarriorをLMSと簡単に統合し、ユーザープロビジョニングを自動管理しましょう。Okta連携によるSSOも利用可能です。

SDLCの初期段階で脆弱性を53%削減

脆弱性の修正コストが大幅に低い開発の初期段階から、よりセキュアなコードを書くことに重点を置くことで、SDLCの早い段階での脆弱性対策が可能になります。修正コストを大幅に抑えることができます。多くの脆弱性の根本原因である「開発者が本番環境に送り出すセキュアでないコード」に着目し、作り込まれる脆弱性を減らすことで、技術的負債を軽減し、セキュリティを強化できます。

開発者のフローを妨げる退屈で静的なトレーニングでは、脆弱性を意味のある形で減らすことはできません。市場で最も柔軟なアジャイル学習プラットフォームを既存のツールに組み込むことで、セキュリティや開発ツールへの投資価値が高まり、脆弱性を53%削減できる可能性があります。

Secure Code Warriorのヒントをもっと見る

次回のブログ記事では、すべてをリスク低減に結びつけ、セキュアコーディングプログラムの成功に向けた具体的なインパクトに集中できる、魅力的なプログラムの構築方法を探ります。

Secure Code Warriorは、ソフトウェア開発ライフサイクル全体を通じてセキュアなコーディングを支援し、サイバーセキュリティを最優先する文化の醸成をサポートします。AppSecマネージャー、開発者、CISOなど、セキュリティに関わるすべての方へ、セキュアでないコードに伴うリスクの低減をお手伝いします。