セキュリティ意識の高い開発者へ：AppSecはあなたを必要としています！

ソフトウェア開発の現場を知らない人には直感に反するかもしれませんが、長年アプリケーションセキュリティの専門家として活躍してきた人々の多くは、プログラミング経験がほとんど、あるいは全くない状態でその重要な役割を担ってきました。こうしたAppSecの専門家は、多くの業界や組織の生命線となっているアプリケーションに脆弱性が入り込まないよう監視するチームの一員ですが、その多くはコードを直接評価したり修正したりすることができません。

コーディングの背景を持たないセキュリティ専門家の多くは、攻撃ベクトル、脅威、エクスプロイト、ビジネスリスクといった主要な知識を軸に業務に取り組んでおり、コードに対する視点は限定的です。AppSecの専門家によってスキルセットは異なりますが、彼らの日常業務は、コードレビュー担当者やスキャンツールと連携し、組織の基準や関連する業界・政府のフレームワークに従ってプログラムやシステムが保護されているかを確認することです。その後、発見事項を報告書にまとめ、コードを破壊する可能性のある攻撃ベクトルに関する情報をフィードバックします。その後の修正作業は、現在の業務にどれほど支障をきたすとしても、開発者に委ねられます。

このような状況が生まれた理由は、長年、ネットワークやアプリケーションの保護という仕事があまりに広大であるため、サイバーセキュリティに携わる全員がすべての役割をこなすことを期待するのは現実的ではないという考え方が主流だったからです。高度なコーディングスキルは開発者に任され、開発パイプラインの後半でコードを書いたり編集したりする能力は、あまり重視されてきませんでした。

しかし、その考え方は急速に変化しており、開発者がAppSecへ転身し、キャリアを築く絶好の機会が生まれています。すべての開発者がいわゆる「ダークサイド」に足を踏み入れたいと思うわけではなく、AppSecチームに対してあまり良い印象を持っていない開発者も少なくありません。それでも、このチャンスを掴もうとする人にとって、今ほど魅力的な機会はありません。

あらゆる業界を牽引するDevSecOps

組織においてセキュリティ意識の高いプログラマーや開発者の価値を高める最大の要因の一つは、DevSecOpsのような、よりアジャイルな開発手法を採用する動きがほぼ全面的に広がっていることです。開発、セキュリティ、運用が統合されることで、サイバーセキュリティは新しいソフトウェア開発の端から端まで組み込まれる共通の責任となります。そのような環境では、コーディング能力は全体を通して価値ある資産と見なされるようになり、セキュリティを本質的に理解しているエンジニアにとっては特にその傾向が強まっています。

サイバーセキュリティを高いレベルで理解し、かつすべてを動かすコードも理解しているAppSecの専門家は、理論的な知識に偏った人材よりも、組織にとって本質的に価値が高い存在です。コード内の脆弱性を迅速に発見・評価し、問題を軽減できる能力こそが、DevSecOpsがこれほどまでに普及している核心的な理由です。

AppSecで働く開発者は、組織にさらなる大きな利点をもたらします。開発側の出身であるため、セキュリティや脆弱性について開発者と容易にコミュニケーションをとることができるからです。また、開発チームのコーチ役となり、彼らがより良いコードを書けるよう支援することも容易になります。時間が経てば、AppSecに対する「ダークサイド」という偏見を取り除き、組織内のソフトウェア開発チームを統合する助けとなるかもしれません。

深刻化するサイバーセキュリティ人材の不足

シェイクスピアは「誰の利益にもならないような不幸な風はない」と述べました。これは、どんなに暗い状況でも、誰かにとっては利益になる可能性があるという意味です。サイバーセキュリティの人材不足は、まさにその好例と言えます。

人材不足は、ほぼあらゆる場所で深刻に感じられています。戦略国際問題研究所（CSIS）が実施した最近の調査によると、IT意思決定者の82%が組織でサイバーセキュリティのスキルが不足していると回答し、71%がその不足によって組織に直接的かつ測定可能な損害が生じていると回答しました。この危機をより明確に示すデータとして、同報告書は、2020年時点で米国だけでも約94万人しか雇用されていない分野において、52万人以上のサイバーセキュリティ関連の求人が埋まらないままだったと指摘しています。

サイバーセキュリティの人材不足は、インフラやビジネス、データを脅威から守ろうとする組織にとっては悪いニュースです。しかし、AppSecやセキュリティ分野への転身を目指す開発者にとっては、大きなチャンスとなります。サイバーセキュリティやAppSecのポジションは、ほぼどこでも空きがある状況です。また、サイバーセキュリティ関連の求人は埋まるまでに平均して21%も長くかかるようになっており、給与水準も全体的に上昇しています。

AppSecへの転身

開発者がセキュリティという明るい世界へ転身するのに、今ほど適した時期はないかもしれません。セキュリティ意識の高い開発者は、もはや一時的なセキュリティ対策の一部ではなく、サイバーセキュリティの守護者として、尊重される役割を担っています。これは、DevSecOpsやその他のアジャイルな開発手法を取り入れた組織では特に顕著です。サイバーセキュリティ人材の不足により、ほぼすべての企業、政府機関、組織でポジションが空いています。適切なスキルを持つ人は、自分の働きたい場所を自由に選ぶことができるのです。

AppSecへの転身が誰にでも向いているわけではなく、多くの開発者は素晴らしい機能の開発に集中し続けるでしょう。しかし、転身を検討している人にとって、既存のコーディングスキルを補強するためにセキュリティトレーニングに投資することは、多くの扉を開くことにつながります。最高のAppSec人材はエンジニアリングの現場から生まれます。技術を深く理解し、仲間の開発者の苦労に共感できるからです。DevSecOpsの普及により、今や誰もがセキュリティに責任を持つ時代です。この人材不足を活かして、アプリケーションセキュリティの分野でキャリアを前進させてみてはいかがでしょうか。自分自身、家族、そしてキャリアのために、前向きな一歩を踏み出すのに今ほど良い時期はありません。