セキュアコーディングの未来において、人間はどのような役割を果たすのでしょうか。

サイバー脅威が増大し続ける中、組織はセキュリティ、実用性、スピードの間で日々トレードオフを迫られており、その過程でリスクにさらされています。セキュアコーディングへの新たなアプローチが求められていることから、Secure Code WarriorはEvans Data Corp.と共同で、セキュアコーディングに対する開発者の意識、セキュアなコードの実践、およびセキュリティ運用に関する一次調査を実施しました（ホワイトペーパーのダウンロードはこちら）。

このレポートが明らかにしたのは、「旧来型」の受動的な考え方が依然として主流である一方で、開発者自身を防御の最前線に変えるような、より能動的なソリューションの必要性に対する認識が高まっているということです。

セキュアコーディングの実践に向けた取り組みを探るには、まず、それを実装する人間、その認識、そして実装能力を理解することから始める必要があります。そこから、パズルの最も重要なピースである「開発者が最初からより安全にコーディングし、高品質なコードを自信を持って迅速に出荷できるようにするにはどうすればよいか」という問いが導き出されます。

セキュアコーディングの現状と、変革すべきこととは？インフォグラフィック「The Human Element（人的要素）」を今すぐダウンロードしてください。

現在の視点：受動的か、能動的か

開発者および開発マネージャーに、セキュアコーディングに関連する活動について尋ねたところ、上位3つの回答は以下の通りでした。

• デプロイされたアプリケーションに対してスキャンツールを使用すること。
• コードの脆弱性を手動でレビューすること。
• 脆弱性から保護されたソフトウェアを記述するという、能動的かつ継続的な実践。

ご覧の通り、上位3つの回答のうち2つは依然として受動的なアプローチに焦点を当てています。1つ目はツール（スキャナー）に依存し、2つ目は開発者（つまり人間）による手動チェックに依存しています。

同時に、挙げられた3つの活動のうち2つは人的要素に依存しています。これは、セキュリティを人間に関わる問題として捉える認識が高まっていることを示しています。しかし、挙げられたすべての活動の中で最も示唆に富むのは3番目であり、これは最初から脆弱性から保護されたソフトウェアを記述するという人的要因を特定しています。これは「シフトレフト」への移行、つまりSDLCの開始段階からセキュリティをソフトウェアに組み込む、能動的かつ予防的なアプローチを強調するものです。

SDLCにおいてセキュリティはどこに位置づけられるべきか？

開発者と開発マネージャーに、セキュアなコードの実践がSDLCのどこに統合されていると思うか尋ねると、意見が分かれます。マネージャーの55%がセキュアコーディングは開発プロセス全体に統合されていると考えているのに対し、開発者は43%にとどまっています。この違いは、SDLC内における両グループの役割の違いを反映している可能性があります。マネジメント層は通常、実際のコーディング作業にはあまり関与せず、より高い視点から物事を見る傾向がある一方、開発者はより詳細な実務に関心があるためです。

しかし、全体的なセキュリティとコード品質の観点から懸念されるのは、セキュアなコードの実践を設計段階、つまりSDLCの開始時に統合すべきだと答えたのが、開発者のわずか13%、マネージャーの10%に過ぎないという点です。これは非常に大きく、まだ活用されていない機会です。IBMの調査によると、リリース後のコードに含まれる脆弱性を修正するコストは、開発の初期段階で見つけて修正する場合に比べて30倍も高くなります。1これは、開発者が最初からより安全にコーディングできるように備えさせる、人間主導の新しい能動的かつ予防的なソフトウェアセキュリティ防御への強力な動機付けとなります。ソフトウェアセキュリティはツールへの依存だけで解決できるものではなく、人的要素を考慮に入れなければなりません。

人的要素は準備ができているか？

調査対象の開発者の97%が、セキュアコーディングに関する十分なトレーニングを受けていると回答し、95%がセキュアコーディングのトレーニングはキャリアにとって価値があったと同意しています。しかし、これらの主張を額面通りに受け取る前に、私たちは問う必要があります。なぜコードの脆弱性は依然としてこれほど蔓延しているのでしょうか？開発者のセキュアコードに関する専門知識の主張は、単なる人間のエゴに過ぎないのでしょうか？証拠は確かにその方向を指し示しています。より控えめな回答として、調査対象の開発者の88%以上がセキュアコーディングは習得が難しいと認めており、91%の開発マネージャーがセキュアコーディングの実践は実装が困難であると認めています。セキュアコードの実装に関する個人的な懸念を尋ねたところ、28%の開発者が学習プロセスを困難だと感じ、24%が学習プロセスを退屈だと感じています。これは、開発者トレーニングを改善する必要があるという事実を浮き彫りにしています。

人的要素には何が必要か？

「困難さ」という要因を克服するために、価値のあるセキュアトレーニングには、開発者が段階的にセキュアコーディングのスキルを構築できるよう支援する「足場（スキャフォールディング）」プロセスが必要です。最大限の関連性と即時適用性を確保するため、そのトレーニングは、彼らが日常的に使用している特定の言語やフレームワークで行われるべきです。

「退屈さ」という要因を克服するために、セキュアコードトレーニングは実践的な方法で提供される必要があります。これは、時代遅れの座学や「ビデオを見るだけ」のモデルよりも、開発者にとって遥かに魅力的であることが証明されています。これには、開発者が安全な環境でリスクを伴う可能性のあるセキュリティ課題に取り組むことができるライブシミュレーションを含めるべきです。目的は、開発者が作業中にコード内の脆弱性を見つけて修正する方法を教え、セキュアコーディングを日々のワークフローの一部にすることであるべきです。もう一つの重要な促進要因は、IDE内でのリンティングとコーチングであり、これにより開発者はコーディングしながら継続的に学習しスキルアップし、脆弱性をその場で防止・排除できるようになります。

開発者にこの新しいレベルの開発者中心のツールとトレーニングを提供する方法を知りたい場合は、今すぐデモを予約してください。

また、ホワイトペーパー「Shifting from reaction to prevention: The changing face of application security（反応から予防へ：アプリケーションセキュリティの変容）」のコピーをダウンロードすることもできます。

‍