新機能：Okta Workflows用SCWコネクタ

Secure Code WarriorとOktaが、開発ワークフローを保護する新たな手法を発表

開発者にはこれまで以上に迅速な高品質コードの提供が求められていますが、非現実的な納期がソフトウェア品質の低下や脆弱なコードにつながっていることは疑いようがありません。開発者の67%が、厳しい納期を主な要因として、脆弱性を含んだコードをリリースしていると考えているのも驚くことではありません（State of Developer-Driven Security 2022）。脅威や侵害が増加し続ける中、セキュリティはもはや後付けではなく、DevSecOpsサイクル全体に統合される必要があります。

この度、Secure Code Warrior Connector for Okta Workflowsを発表いたします。これにより、組織や開発者はソフトウェア開発ライフサイクルの初期段階からセキュアなコードを作成できるようになります。独立系IDプロバイダーのリーダーであるOktaとSCWのこの新たなコラボレーションは、セキュリティ習熟度チェックを実現します。AppSecマネージャーは、開発者がワークフローを中断することなく、チームがセキュアなコードをコミットしているという確信を持てるようになります。さらに、Secure Code WarriorとOktaのシングルサインオンにも対応し、この優れた新ソリューションをより簡単に活用できるようになりました。

脆弱性混入のリスクを低減

開発チームは従来、プラグイン、スキャンツール、コードレビューなど、開発サイクルの後半で行われる受動的で時間のかかるプロセスに依存してきました。これらの手法には多くの利点があるものの、脆弱なコードや将来的な手戻りのリスクが大きすぎるという問題がありました。私たちは、組織がセキュリティを「シフトレフト」し、受動的ではなく能動的なセキュリティ体制をとれるよう支援します。新しいSecure Code Warrior Connector for Okta Workflowsは、各開発者がリポジトリへのコミット権限を得るために必要なセキュアコーディングスキルを習得していることを確認することで、セキュリティの考え方を開発サイクル全体に統合します。この統合により、開発者はSCWの魅力的なプラットフォームを通じて最新のセキュリティプラクティスを学習でき、手動コードレビューの負担が軽減されるため、品質を犠牲にすることなく、より多くの機能をリリースするためのエンジニアリング時間を確保できます。

AppSecリーダーやエンジニアリングリーダーは、SCWの広範な学習プラットフォームを活用して、パーソナライズされた評価や学習パスを作成できます。これにより、開発者が組織の最優先事項であるセキュアコーディングのニーズに集中し、コードをチェックインするために必要な専門知識を確実に習得できるようになります。6,500以上のインタラクティブなコーディング課題、56以上の言語・フレームワーク、150以上の脆弱性カテゴリという充実したコンテンツにより、組織のあらゆるニーズに対応可能です。

チームに適した学習戦略を構築すれば、評価スコアやコースの完了ステータスを使用して、開発者がセキュリティファーストのアプローチでソフトウェアを構築するためのスキルを備えているかどうかを判断できます。Oktaとの新しい統合により、評価スコアに基づいて各開発者の権限を自動化できるため、コードコミットの承認を容易にスケーリングしたり、スキルアップの機会を特定したりすることが可能になります。

SCWプラットフォームの柔軟でインタラクティブな学習体験により、開発者は楽しみながら学習を継続でき、学習に対する姿勢が「コンプライアンスのためのチェックボックス」から「有意義で価値のあるもの」へと変化します。

仕組み

Secure Code Warrior Connector for Okta Workflowsは、Okta WorkflowsのノーコードID自動化およびオーケストレーション構成を使用し、if-thenロジックで簡単に構築できます。このコネクタは一連のアクションを提供し、API呼び出しや構成設定の複雑さを気にすることなく、ワークフロータスクを実行できるようにします。

開発ワークフローを保護するためのシンプルな設計は以下の通りです：

ワークフロー設計の全体像は以下の通りです：

‍

手順を見ていきましょう：

1. 開発者のセキュリティ習熟度を判断するために使用する評価IDを設定します。また、セットアップの一環として、組織やリポジトリなどのGitHubの詳細情報を追加します。

2. 「Check Assessment Completion For User」アクションを使用して、開発者が特定の評価を正常に完了したかどうかをワークフローで確認します。

‍

3. 対象のコースや評価が完了している、または特定のスコアに達している場合は、GitHubコネクタを使用してリポジトリへのアクセス権を付与します。要件を満たしていない場合は、通知を生成したり、別のOktaワークフローをトリガーして適切な措置を講じたりすることができます。

‍

上記は、1回限り、定期的、または継続的なチェックとして実行するように設計できるため、資格のある開発者のみがセキュアなワークフローに継続的にアクセスできるようになります。

その他のSCWコネクタアクションには、以下のようなものがあります。

• List Assessment Attempts For User - ユーザーが特定の評価に対して行ったすべての試行を一覧表示します
• Check Course Completion For User - ユーザーが指定されたコースを完了したかどうかを判定します
• List Course Enrollments For User - ユーザーが特定のコースIDに対して持っているすべての登録を一覧表示します
• Custom API Action - 利用可能なアクションで実行できないAPI呼び出しを実行します

高品質でセキュアなコードを、より迅速かつ確実にリリース

SCWコネクタは、ソフトウェア開発ライフサイクルの初期段階で脆弱性が混入するリスクを軽減します。コードレビューやスキャンツールと同様に、品質ゲートとしての役割を果たし、開発者が最初からセキュアなコードを書けるようにします。その結果、コードレビューや回避可能な問題の修正に費やす時間が減り、高品質なコードをより速くリリースすることに注力できるようになります。さらに、このコネクタは、開発者がSCWの学習プラットフォームに積極的に取り組み、セキュリティスキルを維持することを促すことで、セキュリティファーストの文化を促進します。開発者が学習を続け、セキュリティ成熟度を高めることで、新しいコードにおける脆弱性は減少し続けます。これにより、AppSecチームの修正サポートの負担が軽減され、組織全体のセキュリティ体制の強化により多くの時間を割けるようになります。

Okta Workflows用Secure Code Warriorコネクタは、当社の学習プラットフォームと連携し、開発チームのセキュリティスキルを向上させることで、組織の「シフトレフト」の目標達成を迅速に支援します。

デモの予約についてはこちらからお問い合わせいただくか、ドキュメントを参照してセットアップや構成の詳細をご確認ください。

‍