「セキュリティ」は汚い言葉ではない：ポジティブなアプローチがあなたのセキュリティプログラムをどう変えるか

元記事：DevSecCon Blog

開発チームとAppSec専門家の双方の立場を経験した私には、セキュリティのベストプラクティスを維持する上で両者の間に生じる緊張関係が痛いほどよくわかります。

現実は厳しいものです。結局のところ、開発者の最優先事項はソフトウェアの機能を提供することです。美しく機能的で、アプリケーションの力を示すものでなければなりません。今日のアジャイル開発では、厳しい納期の中で機能を完成させることが求められます。多くの課題を抱える中で、セキュリティが優先順位の上位に来ることは稀です。

セキュリティはAppSecチームの領域と見なされています。彼らはコードをスキャンし（あるいは、さらに悪いことに、一行ずつ手作業でレビューし）、開発チームにコードが安全でない、あるいは全く使い物にならないと報告するという、気の進まない役割を担っています。彼らは開発者の優れた仕事を台無しにし、イノベーションを阻害し、頭痛の種をまく存在と見なされがちです。しかし、多くのセキュリティ問題は、実はわずか一行のコード修正で脆弱なバックドアを塞げるような、単純な解決策で済むことも多いのです。

しかし、ここに問題があります。「セキュリティ」がネガティブな体験と同義になってしまっているため、開発者は本来あるべきほどセキュリティに関心を持てていません。一行で済むはずの修正が行われないのです。結局、AppSecチームは同じ問題に繰り返し直面することになります。SQLインジェクションの欠陥が発見され、修正方法が確立されてから20年以上経った今でも、それを指摘し続けなければならないのは、彼らにとっても非常に苛立たしいことでしょう。

私たちがこれまで行ってきたことは、期待していたほど効果を上げていません。開発者とAppSec専門家の間の橋渡しを修復し、開発者がセキュリティの分野で真のインパクトを与えられるよう、ツールやトレーニングを提供するポジティブなセキュリティ文化の醸成に注力する必要があります。

もしかすると、彼らも私のようにセキュリティの虜になるかもしれません！

ポジティブなセキュリティは、アプリケーションセキュリティを向上させる最も迅速かつ簡単な方法です

。これは決して実体のない精神論ではありません。成功するセキュアコーディングを実現するための、極めて重要な要素なのです。

開発者は、最初からセキュアなコードを書くことで、開発の初期段階からセキュリティを向上させる鍵を握っています。ポジティブなセキュリティ文化を築き、開発者がアプリケーションセキュリティに意欲的に取り組むようになれば、一般的な脆弱性はスキャンや手動レビューの段階に達する前に排除できるはずです。

コミット済みのコードに含まれる脆弱性を修正するコストは、そうでない場合に比べて30倍もかかります。そのため、開発者の強みを活かし、興味を引き、実際に効果のあるトレーニングを見つけることは、繰り返される脆弱性を特定・修正するための将来的なコスト削減に向けた大きな一歩となります。

開発者に焦点を当てたポジティブな取り組みが、正しいセキュリティ文化を育みます。

全員がセキュリティのベストプラクティスを共有できれば、ポジティブなセキュリティ文化は自然と生まれ、組織にとって不可欠な財産となります。

開発者に焦点を当てた、拡張性のあるポジティブな取り組みが、正しいセキュリティ文化を育みます。開発者の創造的で問題解決能力の高い思考を刺激することは、彼らの協力を得るためにも、また新メンバーがチームのセキュリティ基準に素早く適応するためにも不可欠です。お問い合わせいただければ、開発者とセキュリティの関係がどのように進化してきたか、また組織内で成功するセキュリティ意識向上プログラムを展開するためのアイデアについて詳しくご説明します。