開発者のセキュリティスキルをベンチマークするメリット

サイバー脅威がより一般的かつ高度化する中、サイバーセキュリティの焦点はセキュアコーディングの重要性へと移っています。ホワイトハウスの国家サイバーセキュリティ戦略や、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）のSecure-by-Designイニシアチブ、そして各国での取り組みや法整備により、ソフトウェアのセキュリティ責任は開発者が負うべきものとなりました。ソフトウェア開発ライフサイクル（SDLC）の初期段階からセキュリティを確保する「シフトレフト（あるいは、より正確には『スタートレフト』）」は、かつては「あれば望ましいもの」でしたが、今や組織がデータやシステムを保護し、侵害発生時の規制上の影響を回避するために不可欠なものとなっています。

セキュアなコーディング習慣を定着させる鍵は、開発者トレーニングにあります。ソフトウェアエンジニアは通常、サイバーセキュリティ教育をほとんど、あるいは全く受けていません。特に今日の加速するDevOps環境において、彼らの仕事は、生成AIモデルの助けを借りて、新しいアプリケーションやアップグレード、サービスを可能な限り迅速にリリースすることであり、セキュリティ上の問題はSDLCの後の段階でセキュリティチームが対処するものとされてきました。これは、大量のコード作成に伴って発生する無数の欠陥に対処するには非効率的であり、結果として脆弱性を抱えたソフトウェアがエコシステムに放出される原因となっています。

開発者は、最初からセキュアなコードを書く訓練を受ける必要があり、AIが生成したコードや、使用するオープンソースやサードパーティ製ソフトウェアに含まれる脆弱なコードを見抜く能力を身につけなければなりません。多くの開発チームや組織にとって、これは未知の領域です。開発者が必要なトレーニングを受けていることをどう確認すればよいのでしょうか？また、そのトレーニングは日常的に実践されているのでしょうか？

開発者教育に取り組む企業の中には、開発者が習得すべきスキル基準を設け、明確に定義されたベンチマークに対して進捗を測定することが有益であると気づいたところがあります。この取り組みを支援するため、Secure Code Warriorは、開発者のセキュリティトレーニングの進捗を正確に測定するためのベンチマークを立ち上げました。SCW Trust Scoreは、トレーニングが現場でどの程度実践されているかを組織が測定し、セキュリティチーム、開発チーム、エンジニアリングチーム間の連携を促進します。

これは、セキュアコーディングのトレーニングが定着していることを証明し、同時に改善が必要な領域を特定するための手段です。

セキュアな設計が求められる理由

ソフトウェア開発者が、SDLCの最初からセキュリティを組み込むべき理由は十分にあります。アプリケーションやサービスへの需要の高まりと、AIが開発プロセスにもたらすスピードは、生成AIをいち早く取り入れた開発者にとって有益であると証明されましたが、同時にパイプラインにバグを含んだソフトウェアが放出される結果を招いています。コードが生成されればされるほど欠陥も増えます。最近の調査によると、アプリケーションの約4分の3（作成方法を問わず）に少なくとも1つのセキュリティ上の欠陥が含まれており、そのうち約20%が重大なものと見なされています。

SDLCの後半で脆弱性に対処することは、時間的にもコスト的にも非常に大きな負担となっています。米国国立標準技術研究所（NIST）の調査によると、テスト段階で欠陥を修正するコストは、SDLCの開始時にセキュリティを確保する場合と比べて15倍の時間がかかり、デプロイや保守の段階では30倍から100倍の時間がかかることが判明しています。

これらすべてが、開発サイクルの初期段階からセキュリティを適用することの重要性を強調しています。これはリスクを低減する最も効果的な方法であるだけでなく、最も費用対効果の高い方法でもあります。セキュリティチームと別々に機能するのではなく、協力して取り組む開発者こそが、SDLCの初期段階からセキュリティを組み込むのに最適な立場にあります。セキュリティのベストプラクティスを学んだ開発者は、脆弱性の低減に効果を発揮します。問題は、そのような訓練を受けた開発者が非常に少ないということです。

ベンチマークの利点

企業にとっての基本的な道筋は、セキュリティスキルの基準を確立し、トレーニングを提供し、開発者が必要なスキルを習得したことを組織と規制当局の両方に証明することです。これはあらゆる経済セクターの多くの組織にとって困難な課題ですが、必ずしもそうである必要はありません。

セキュリティリーダーが指摘する課題の一つに、トレーニングプログラムを全社規模で展開することの難しさがあります。しかし、SCWの調査によると、組織、特に多くの開発者を抱える組織は、セキュアな設計アプローチを成功させることができます。小規模な組織の結果には、Secure-by-Designの原則をどの程度適用できているかに大きなばらつきが見られる傾向があります。それでも、Trust Scoreを取り入れたアプローチから恩恵を受けることは可能であり、より迅速な改善が見込めるでしょう。

Trust Scoreは、ベンチマーク指標を使用して個々の学習者の進捗を測定し、スコアを集計してチーム全体のパフォーマンスを評価し、組織の進捗状況を業界のベンチマークやベストプラクティスと比較します。これは単にトレーニングを追跡するだけでなく、開発者が新しいスキルを日常業務でどの程度適用しているかを示します。また、改善が必要な領域を浮き彫りにし、組織がトレーニングやスキルアッププログラムを最適化できるようにします。

CISAの重要インフラセクターのうちデータが利用可能な分野全体で見ると、ほとんどの組織はセキュアな設計原則の導入において同程度のレベルにあります。金融サービス、防衛産業基盤からヘルスケア、IT、重要製造業に至るまで、各セクターのTrust Scoreは1,000点満点中300点強という同じ範囲に収まっています。最も規制が厳しい業界である金融サービスが他を大きく引き離しているという一般的な通説に反し、突出して進んでいる業界はありません。

化学、エネルギー、原子力事業など、Trust Scoreランキングに含まれていない重要インフラセクターは、一般的に自社でソフトウェアを開発せず、他のセクター、特にITセクターに依存しています。しかし、これらのセクター内でセキュアなシステムを維持することの重要性（原子力発電所が侵害される事態は誰も望んでいません）は、彼らが使用するソフトウェアを最初からセキュアにすることの不可欠さを物語っています。

結論

規制圧力の増大とサイバー脅威の現実により、データ、システム、事業運営、そして評判を守りたいと考える組織にとって、Secure-by-Designアプローチは不可欠なものとなりました。セキュアなソフトウェアを作成できるかどうかは、大部分が開発者の手に委ねられています。しかし、彼らには、必要な教育を提供し、それがどのように実践されているかを示す、徹底したスキルアップおよびトレーニングプログラムという形の支援が必要です。

Trust Scoreのようなツールに裏打ちされたベンチマークを含むプログラムは、開発チームの重要な進捗状況を明確に可視化します。これは、開発者と所属企業双方が、Secure-by-Designの新たな要件を満たしつつ、セキュアなソフトウェア開発スキルを継続的に向上させるために不可欠な新しいアプローチです。

‍