SCWインテグレーション：マイクロラーニングで平均修復時間を短縮

開発者のワークフローに寄り添う

DevSecOpsによる迅速かつ安全なリリースを目指す組織にとって、統合された技術スタックで開発者の生産性を最適化することは不可欠です。Secure Code Warriorのソフトウェアインテグレーションは、GitHubやJiraなど、開発者が日常的に使用するツールにセキュアな開発リソースを組み込み、開発者を強力にサポートします。

Secure Code Warriorは、セキュアコーディングプログラムを既存の製品や開発者のワークフローに直接組み込むことで、ジャストインタイムの修正を可能にし、学習内容の定着を促進します。

迅速な修正で脆弱性を削減

脆弱性の発見と修正は、一部のピースや完成図がない状態で巨大なパズルを解くようなもので、堅牢なソリューションがあっても完了までに数日、数週間、あるいは数ヶ月かかることもあります。特に、その問題に直面したことがない場合や、未検証のソリューションを導入することに不安がある場合、開発者にとってこの作業は非常に困難なものとなります。

EdgeScan 2022 Vulnerability Statistic Reportによると、フルスタックにおける脆弱性の平均修正時間（MTTR）は 57.5日でした（EdgeScan 2022 Vulnerability Statistics Report）。

これは、貴重なデータが侵害され、信頼が失われ、開発者の生産性が浪費されるという危機的な期間です。これによりコードのリリース速度が低下し、知識や自信の欠如からくる場当たり的な修正や不完全なパッチによって、最終的には技術的負債が蓄積されていきます。

Secure Code Warriorのインテグレーションは、信頼できる修正アドバイスを提供し、開発者がフローを中断することなく自信を持ってセキュリティバグを解決できるようにします。開発者がソースコードレベルで修正の責任を負えるようになれば、AppSecチームはリスク監視や組織のセキュリティ体制の強化に注力できるようになります。

作業項目に文脈に応じたセキュアコーディングのガイダンスを組み込むことで、開発者は検出された脆弱性とその修正方法について即座に学ぶことができます。これによりMTTRが短縮されるだけでなく、学習内容が定着し、脆弱性をソースコードの段階で未然に防ぐことが可能になります。

チーム全体の学習をスケールアップ

SCORM LMSインテグレーション

SCORM（Sharable Content Object Reference Model）は、eラーニングコースの国際標準規格です。SCORM形式で公開されたコースであれば、ほぼすべての学習管理システム（LMS）で利用可能です。SCORMを活用すれば、セキュアコーディングトレーニングプログラムを他のトレーニングプラットフォームと一元管理できます。

コード出荷前の習熟度チェック

Secure Code Warrior Connector for Okta Workflowsは、ワークフローにセキュリティ習熟度チェックを組み込むことで、脆弱なコードがコードベースに混入するのを防ぎます。GitHubリポジトリなどで作業する際、特定のコードベースで作業するための条件として、必要なレッスンや評価を課すことができます。これにより、リーダーは各開発者が該当するコードベースで作業する準備ができているかを確認でき、組織全体のセキュリティレベルを底上げすることが可能になります。

各開発者がコードをコミットするために必要なセキュアコーディングスキルを習得していることを確認し、ソフトウェア開発ライフサイクル全体にセキュリティを組み込みましょう。このインテグレーションにより、開発者はSCWの魅力的なプラットフォームを通じて最新のセキュリティプラクティスを学び、手動コードレビューの負担を軽減できます。その結果、エンジニアリングリソースが解放され、品質を犠牲にすることなく、より多くの機能を迅速にリリースできるようになります。

OktaとSCWの連携について詳しく見る またはデモはこちらからご覧ください。

コードコミット時に必要なサポートを即座に提供

GitHub向けSCWは、GitHubワークフロー内でのコンテキストに応じたトレーニングを可能にします。SARIFファイル内、または開発者が作業中のIssueやプルリクエストに直接トレーニングを組み込めます。これにより、開発者は最も必要なタイミングで知識にアクセスでき、高品質なコードをより迅速にリリースできるようになります。この統合は、単に理解を伴わないパッチ適用を可能にするだけではありません。優れたセキュアコーディングのパターンを継続的に強化し、脆弱なコードを迅速に認識できるようにします。

SCWとGitHubの連携について詳しく見る またはデモ

GitLabに統合された実践的なセキュアコーディングガイダンスは、脆弱性レポートの「脆弱性の詳細」セクションに、関連性の高いSecure Code Warriorのトレーニングリンクを埋め込みます。この統合により、学習と知識の適用との間のタイムラグを短縮し、将来的な活用を促進します。例えば、脆弱性スキャナーがアプリケーションコード内でクロスサイトリクエストフォージェリ（CSRF）を検出した場合、脆弱性の詳細情報に関連するトレーニングリンクが自動的に追加されます。

「Secure Code Warriorの包括的でコンテキストに応じたセキュアコーディング学習を当社のプラットフォームで提供することで、開発者が最初からセキュリティを最優先に考えられるよう支援します。これにより、時間の節約だけでなく、新たなスキルの習得もサポートします。」 - GitLab社 バイスプレジデント Nima Badiey氏

SCWとGitLabの連携について詳しく見る

Synopsys Seekerとの統合により、Seeker内の脆弱性検出結果にSecure Code Warriorのリソース、動画、トレーニングリンクが埋め込まれます。これにより、Seeker内で簡単にアクセスできるトレーニングガイダンスを通じて脆弱性を特定・解決するマイクロラーニングが実現し、業界標準や規制への準拠を確実にします。

SynopsysとSCWの連携について詳しく見る

チケット内で今すぐ必要なヘルプを提供

セキュリティ上の欠陥を見つけるだけでなく、Secure Code Warrior for Jiraで修正を支援しましょう。開発者はJiraの課題トラッカー内で直接コンテキストに応じたトレーニングを受けられるため、最も必要なタイミングで知識にアクセスし、高品質なコードをより迅速にリリースできます。Secure Code Warrior for Jiraは課題の詳細を検出し、開発者が使い慣れた環境内で特定のトレーニング動画にアクセスすることで、問題の修正方法を学ぶ機会を提供します。コンテキストに応じたマイクロラーニングを通じて、開発チームはコードベース全体の脆弱性を削減し、Jiraでの追跡とレポート作成により常に状況を把握できます。

SCWとJiraの連携について詳しく見る

セキュアなコードを迅速に記述

Secure Code Warriorの技術スタック統合は、一般的な脆弱性に対する業界で信頼されたガイダンスとソリューションを提供し、マイクロラーニングと迅速な修正を可能にします。

• 必要な時にすぐにガイダンスを確認できるよう、トレーニングへのリンクをIssueやプルリクエストのコメント欄に記載しています。

• コンテンツは非常に高い関連性を持ち、CWE（共通脆弱性タイプ一覧）またはOWASP（Open Web Application Security Project）の参照に基づいて取得されます。

• 広範なカバレッジにより、世界有数のセキュアコーディングトレーニングコレクションから学習リソースが提供されます。

数十年前から知られているような一般的な脆弱性が、事後対応的な対策のためにSDLC（ソフトウェア開発ライフサイクル）内に残り続けています。スキャンツールやペネトレーションテストは問題を特定するだけにとどまり、多くの場合、アプリケーションがすでに本番環境にリリースされた後に行われます。これらは非常に低速で、手動レビューが必要な誤検知や見落としが多く、問題の根本原因や発生源に対処することはほとんどありません。

開発者のワークフロー内でマイクロラーニングと修正アドバイスを提供することで、セキュリティ上の弱点を開発プロセスの早い段階で発見し、コストのかかる事態や、後で悪用される可能性のある脆弱性を防ぐことができます。Secure Code Warriorの統合は、開発者が普段作業している環境でサポートを提供します。脆弱性をより迅速に発見・修正するだけでなく、信頼できるリソースと簡潔なガイダンスを通じて実践的に学ぶことで、スキルを向上させ、ソフトウェア開発ライフサイクルの重要な要素としてセキュリティを強化します。

詳細をご希望ですか？

• SCWのすべてのエキサイティングな統合について、製品紹介ウェビナーをご覧ください。
• Oktaのデモを見る
• GitHubのデモを見る
• Secure Code Warriorを無料で試す