受動的から能動的へ。人間主導のセキュアコーディングで変革を。

過去20年以上にわたり、同じ10種類のソフトウェア脆弱性が他のどの脆弱性よりも多くのセキュリティ侵害を引き起こしてきました。それにもかかわらず、多くの企業がいまだに侵害発生後の事後対応を選択し、その結果生じる人的・ビジネス的影響への対処に追われています。しかし今、ある新しい調査研究が、人間主導の新たな方向性を示唆しています。

‍以下では、Secure Code WarriorがEvans Data Corpと共同で実施した調査『Shifting from reaction to prevention: The changing face of application security』（2021年）から得られた知見について解説します。この調査では、セキュアコーディングに対する開発者の意識、セキュアなコードの実践、およびセキュリティ運用について探求しています。ホワイトペーパーのダウンロードはこちら。

‍‍近日公開予定のこの調査では、開発者および開発マネージャーに対し、セキュアコーディングに関連する活動について尋ねました。回答の上位3つは以下の通りです。

• デプロイされたアプリケーションに対してスキャンツールを使用すること。
• 脆弱性がないかコードを手動でレビューすること。
• 脆弱性から保護されたソフトウェアを記述するという、能動的かつ継続的な実践。
  ‍

これは何を意味しているのでしょうか？回答の上位3つのうち2つは依然として受動的なアプローチに焦点を当てており、1つ目はツール（スキャナー）に依存し、2つ目は開発者（つまり人間）による手動チェックに依存しています。どちらの場合も、コードが記述された後に行われるものです。これらの方法で検出された脆弱性は、修正のために開発チームへ差し戻さなければならず、プロジェクトのスケジュールやコストに悪影響を及ぼします。

同時に、挙げられた3つの活動のうち2つは人的要素に依存しており、セキュリティを人間主導の課題と捉える認識が高まっていることを示しています。しかし、挙げられたすべての活動の中で最も示唆に富むのは3番目であり、これは最初から脆弱性のないソフトウェアを記述するという人的要因を特定しています。これは「シフトレフト」への転換、つまりソフトウェア開発ライフサイクルの最初からセキュリティを組み込む、能動的かつ予防的なアプローチを強調するものです。

受動的対応は「高コスト」になり得る

IBMの調査*によると、リリース後のコードに含まれる脆弱性を修正するコストは、開発の初期段階で発見・修正する場合の30倍に達します。これは、開発者が最初からより安全にコーディングできるよう支援する、能動的で人間主導の新しいセキュリティ防御アプローチへの強力な動機付けとなります。

これこそが、人間主導の防御と呼べるものです。しかし、開発者にセキュリティを意識してもらうためには、それが日々の思考やコーディングの一部となる必要があります。これは、開発者の日常業務に極めて関連性が高く、学習意欲を刺激する新しいトレーニングアプローチへの要求であり、現在のトレーニングモデルではそのどちらも実現できていません。

能動的なセキュリティ文化を構築するには、以下の要素を備えた新しいトレーニングが必要です。

• 開発者がソフトウェアセキュリティのスキルを高める過程で、セキュアコーディングを前向きで魅力的な体験にする
• 日々のコーディングタスクをセキュリティの観点から捉えるよう開発者を促す
• セキュアコーディングを日常のワークフローに不可欠なものにする
  

これらの要素が組み合わさることで、脆弱性の発生を未然に防ぎ、チームは高品質なコードをより迅速かつ自信を持ってリリースできるようになります。幸いなことに、ソフトウェア開発プロセスにおいて「シフトレフト」を実現する学習プラットフォームはすでに存在します。それは、開発者が最初から高品質なコードを作成するためのスキルとツールを提供し、彼らの能力を最大限に引き出すものです。
‍‍

‍

‍

‍

*IBM Software Group; Minimizing Code Defects to Improve Software Quality and Lower Development Costs
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html