高品質なコードをより速く、自信を持って出荷するために。セキュアコーディングがもたらす変革の力。

IBMの調査によると、リリース後に脆弱性を修正するコストは、開発の初期段階で発見・修正する場合と比べて30倍にも上ります。こうした背景から、先見の明のあるCIOがセキュアコーディングの実践に注力しているのは当然のことと言えるでしょう。これは、開発者が最初からより安全なコードを書けるよう教育し、必要なスキルを身につけさせることで、彼らを組織の「第一の防衛線」へと変革することを意味します。このトレンドがもたらす実際の効果を測定するため、Secure Code WarriorはEvans Data Corp*と共同で、セキュアコーディングに対する開発者の意識、実践、およびセキュリティ運用に関する調査を実施しました。この調査により、セキュアコーディングの実践が、企業のさまざまな側面において変革をもたらすことが明らかになりました。ホワイトペーパーのダウンロードはこちらから。

自信と意識を持ってセキュアコーディングを実践する

セキュアコーディングの実践が、開発者のセキュリティ意識を高め、雇用主にも利益をもたらすことは疑いようがありません。調査によると、55%の開発者が「適切なトレーニングによってコーディング技術への自信が高まった」と回答し、53%が「デバッグやテストの際により慎重になれた」と回答しています。また、同じく53%が「コードを書く際にセキュリティへの意識が高まった」と答えています。

この結果が示すものとは何でしょうか。それは、少しのスキルアップによって、開発者が組織の「第一の防衛線」へと生まれ変われるということです。

よりスマートなツール選定とリリース速度の向上

マネージャーにセキュアコーディング・トレーニングの影響について尋ねたところ、彼らの回答には管理職としての視点が反映されていました。43%のマネージャーが、トレーニングによって組織のデバッグやテストがより慎重になったと回答しています。47%は、適切なトレーニングのおかげで、より高いセキュリティを提供するツールを適切に選定できるようになったと答えました。そして最も重要な点として、44%がセキュアコーディングのトレーニングと技術が時間の節約とソフトウェアリリースの加速に貢献したと指摘しています。これは、市場投入までのスピードがすべてを左右する現代において、大きなアドバンテージとなります。

全体的な生産性の向上

セキュアコーディングが生産性にどう貢献したかという問いに対し、半数以上の開発者が、コーディングとアプリ設計の品質向上に役立ったと回答しました。

63%が、繰り返される脆弱性を防ぐことで手戻りが減ったと回答しました。70%が、手戻りやパッチ修正につながるエラーを排除できたと回答しています。56%は、デバッグとテストの生産性が向上したと主張しています。ソフトウェア開発ライフサイクルの複数の段階で、変革が進行していることがわかります。

チームのダイナミクスとコード品質

セキュアコーディングの実践は、チームのダイナミクスにも影響を与えます。開発者は個々に安全なコーディングを学びますが、コードは孤立して存在するわけではありません。多くの場合、コードは他者の作業に依存しており、その逆もまた然りです。セキュアコーディングを実践することで、開発者同士が知識を共有・追求するようになり、開発者間、開発者とマネジメント層、そして開発チームとステークホルダー間のコミュニケーションが活性化します。

• 調査対象の開発者の60%が、セキュアコーディングの実践により他の開発者とのコミュニケーションが増えたと回答しています。
• 45%が、マネジメント層とのやり取りが増えたと回答しています。

こうした意見は、視点は異なりますがマネージャー層からも同様に聞かれます。調査対象のマネージャーの62%が、セキュアコーディングの実践によって人材管理に割く時間が増え、コードリリースの速度向上につながっていると主張しています。

セキュアコーディングを実践する組織にとって、コミュニケーションの増加はチームのダイナミクスに革新的な影響を与え、コード品質と市場投入までのスピードを向上させるという好循環を生み出しています。

リアクティブ（事後対応）からプロアクティブ（予防）へ

最後に、セキュアコーディングは、開発者や開発マネージャーがセキュリティ対策やそれに付随する指標を適用する方法にも影響を与えています。

今日、組織の81%が依然として、欠陥数やスキャナーのメトリクスといったリアクティブな指標に頼ってセキュリティ品質を判断しています。

しかし、こうした事後対応型の活動は、予防的または先制的な指標によって補完されるか、あるいは取って代わられつつあります。現在、組織の67%が、セキュリティ準備態勢の指標として、開発者のOWASP Top 10に対する認識度を測定しています。その他、利用が増加している予防的指標には以下のようなものがあります。

• アプリケーションセキュリティに関する開発者の能力測定
• 事前承認済みコードの使用
• 規制要件への準拠

現在、開発者の90%がこうした予防措置に注目しています。しかし、セキュアコーディングの実践に対する意識と導入は高まっているものの、その可能性を最大限に引き出すにはまだ道のりがあります。

今後どのように進めるべきか

セキュアコーディング変革の推進者であるSecure Code Warriorは、人間中心のアプローチで、開発者を組織の「第一の防衛線」へと変革し、セキュリティ戦略全体を事後対応型から予防型へと転換するお手伝いをします。当社の実績ある学習プラットフォームは、52の言語・フレームワーク固有のカテゴリにおいて、開発者が現実の業務で直面する課題を模した実践的な教育を提供します。私たちは、開発者が理論重視の静的な学習よりも、実践を通じた学習を好むことを深い経験から理解しています。このアプローチがチームにもたらす変革と、自信を持って高品質なコードを出荷する能力の向上を実感したい方は、今すぐデモをご予約ください。

‍

*Shifting from reaction to prevention: The changing face of application security. Secure Code Warrior and Evans Data Corp. 2020
1. IBM Software Group; Minimizing Code Defects to Improve Software Quality and Lower Development Cost - https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

‍