先制攻撃で脅威を封じ込める：セキュアコーディングの独自コースがサイバー脅威を無力化する理由

政府や大企業、さらには業界のリーダーたちでさえも目を背けがちな、不都合な真実があります。それは、社会全体がサイバー脅威との絶え間ない戦いの中にあり、現時点では我々が劣勢に立たされているという事実です。なぜそう言い切れるのか。以下の統計が、その厳しい現実を物語っています。

• サイバー犯罪による世界的な被害額は2021年までに6兆米ドル
• に達すると推定されています。39秒に1回
• サイバー攻撃が発生しており、データ侵害の24%
• は人的ミスが原因です。組織の77%が、サイバーセキュリティのインシデント対応計画を策定しておらず、企業全体で拡張性があり、部門間で一貫して適用される体制が整っていません。

サイバーセキュリティの専門家は深刻な人手不足に陥っており、このスキルギャップが埋まる見込みは薄く、我々を救ってくれる秘密のセキュリティ部隊も存在しません。このことは何年も前から分かっていたはずであり、今こそアプローチを変える必要があります。我々にとって最大の攻撃は優れた防御であり、適切な計画を立てることで先手を打つことができるのです。

これだけ聞くと悲観的に思えるかもしれませんが、世間で言われているほど絶望的ではありません。我々には切り札があり、現在のサイバーセキュリティ環境は大きなチャンスでもあります。組織を救う人材は、社内の開発チームの中にこそ存在します。彼らがセキュアなコーディングの責任を共有できる「セキュリティ意識の高いエンジニア」へと成長できるよう、組織としてその軌道を支援しなければなりません。

ありきたりなトレーニングでは不十分です。それはこれまでも繰り返し述べてきた通りですが、開発者の意欲を引き出し、文脈に沿った知識を構築し、セキュリティを好きになってもらうための優れたトレーニングであっても、ビジネスのニーズや直面する脅威、そしてデータを守るためのコンプライアンス要件に合わせて最適化されていなければ、その効果は半減してしまいます。

そこで登場するのが、最新機能の「コース（Courses）」です。ちなみに、タイトルの元ネタがわかった方は、公式に「ベテラン」認定です（あるいは、単に名作を愛する方ですね）。

組織特化型の学習：防御を構築し、開発者のスキルを強化する

開発者向けトレーニングのあり方については、様々な意見があります（例えば、退屈で一般的なビデオ講義を何時間も見せて、セキュアコーディングへの情熱が芽生えることを期待するのは間違いです）。しかし、開発者のマインドセットに訴えかけるような競争型の学習であっても、組織内の特定の要件に対しては、内容が広範すぎる場合があります。

開発者が習得すべきモジュールを厳選したコースは非常に効果的であり、日々の業務においてセキュリティのベストプラクティスを即座に実践できるようになります。フロントエンドチームやクラウドエンジニアなど、それぞれの役割に合わせてプログラムをカスタマイズし、関連する言語やフレームワークにおいて最も重要な脆弱性に焦点を当てることができます。開発者は継続的な文脈やタッチポイント、経験を通じてスキルを向上させることができ、企業は最もリスクの高い問題に対する精度の高い意識向上という恩恵を受けることができます。

コンプライアンスのためのコースをカスタマイズする

世界中でサイバーセキュリティ関連の規制が強化されており、ソフトウェアセキュリティのコンプライアンスは、前向きで効果的なセキュリティ文化を築くための素晴らしい基盤となります。それは退屈なものであるべきではなく、優れたセキュリティプログラムは、開発者にため息をつかせるのではなく、誇りと責任感を呼び起こすものであるべきです。

出発点として、まずは全員がOWASP Top 10を理解することは非常に有効ですが、業界に関連するコンプライアンスで新たな高みを目指すなら、特定の規制要件に基づいたカスタムコースを設計するのが最適です。例えば、金融機関であれば、決済やカード処理アプリケーションを管理するPCI-DSSガイドラインのコンプライアンス要件に合わせてコースを調整できます。クレジットカード番号のような機密情報を処理・保存する責任を負う場合、リスクは非常に高くなります。開発者の学習内容を極めて具体的に絞り込むことで、ノイズを排除し、適切なタイミングで適切な教育を提供し、チームの適性をより容易に監視できるようになります。

ゼネラル・エレクトリック（GE）社では、チーム内で「コース」を次のように活用しています。

「コースは、当社のエンジニアにとって素晴らしいソリューションです。学習パス、ビデオ、チェックポイントをカスタマイズ可能なモジュールにまとめるという新機能のおかげで、その時々に必要な内容に合わせてコンテンツを構成できるようになりました。コンプライアンス機能と柔軟性により、より効率的で柔軟なプロセスを確保する絶好の機会が得られました。この機能により、ゼネラル・エレクトリックは、各エンジニアに関連するトレーニングをこれまで以上に迅速かつ容易に提供できるようになりました。」

忘れないでください。これは厳選されたコンプライアンス・トレーニングですが、開発者にとってより魅力的な、短時間で文脈に沿った、参加型の学習体験として提供されます。

尊重と関連性に基づいた、前向きなセキュリティ文化

教育は生涯続くプロセスですが、目まぐるしいDevSecOpsの世界では、多くのタスクを同時にこなさなければなりません。トレーニングに割く時間は賢く使うべきであり、継続的に関心を引き、価値を生み出す実行可能な学習パスが必要です。

開発者の業務フローに最適化された独自のコースを作成することで、彼らの時間を尊重しつつ、ビジネスにおける脆弱性やサイバーセキュリティリスクを確実に低減できます。

AppSecスペシャリストとエンジニアの間には、従来、誤解や緊張関係が生じがちでした。しかし、Coursesによる体系的な学習を取り入れることで、双方がセキュリティのベストプラクティスを共有できるようになります。AppSecチームが解決策を提示し、開発者の負担を軽減しながら、より高品質なコード作成を支援する姿勢は、開発者からも高く評価されるはずです。

脆弱性を排除し、企業レベルのセキュリティ衛生を拡大する

人間である以上、ミスは避けられません。デジタル社会において、そのミスは非常に大きな代償を伴うにもかかわらず、驚くほど頻繁に発生しています。シマンテック社の2019年インターネットセキュリティ脅威レポートでは、S3バケットの設定ミスにより7,000万件以上の記録が流出したことが確認されています。セキュリティ設定の不備はデータ侵害の主な原因であり、その約4分の1が人的ミスによるものです。

こうした問題が発生する理由は多岐にわたりますが、セキュリティ意識やトレーニングの不足が、攻撃者に付け入る隙を与えてしまう大きな要因となっています。効果的で拡張性のあるセキュリティ対策を実現するには、自社専用にカスタマイズされたコースが不可欠です。脅威に対して容赦なく立ち向かい、攻撃者が入り込むあらゆる隙を塞ぎましょう。

すでに多くのクライアントで素晴らしい成果が上がっています。その一例として、クラウド型会計SaaSを提供する大手企業の事例をご紹介します。

"Coursesのカスタマイズ可能な学習パスは、まさにゲームチェンジャーでした。プログラミング言語や脆弱性に特化した学習が可能になったことで、開発者一人ひとりのニーズや会社の要件に合わせて、最適な学習体験を柔軟に提供できるようになりました。Secure Code WarriorのセキュアコーディングプラットフォームとCoursesを併用することで、開発者の意識が大きく変わり、より安全で優れたコードを書くためのスキル向上に意欲的に取り組むようになっています。"

DevSecOpsへの準備を始めましょう。Secure Code Warriorの全く新しいCourses機能の詳細については、こちらをご覧ください。