守護者たちの10年：Secure Code Warrior 10周年

若い頃、私はよくDOOMをプレイしていました。始めた当初は、ゲームをクリアするために難易度設定を何度も切り替える必要がありました。「I’m Too Young To Die（死ぬには若すぎる）」というイージーモードから「Nightmare（悪夢）」というベリーハードまで、難易度は様々でした。テック企業を経営する中で、特に初期の繊細で不安定、かつ失敗しやすい時期には、難易度をリセットして変更できればと思う日が何度もありました。

スタートアップの統計はよく知られており、厳しい現実を突きつけています。スタートアップの約90%が倒産するという状況は長年続いていますが、詳細を見ると、1年以内に21%、2年以内に30%、5年で50%、10年以内には70%が失敗に終わっています。

共同創業者のMatias Madou、Fatemah Beydoun、Colin Wong、Nathan Desmet、Jaap Karan Singhが、投資家であるGoldman Sachs、Cisco Investment、Paladin Capital、Forgepoint、Airtree、Tidal、そして社外取締役のJim PflagingとNanhi Singhの支援を受けて「レベル10」に到達できたことを誇りに思います。

創業チームは10年間、あらゆる教訓、成功、挫折を共に乗り越えてきました。私たちは今、開発者リスク管理のリーダーとして、次の章である「SCW 2.0」に向けてさらなる飛躍を遂げようとしています。

2024年：業界初のデータインサイトツールを市場に投入した年。

人材育成の投資対効果を証明することは非常に困難ですが、2024年、SCWは業界全体が求めていた「開発者のスキルアップによってソフトウェアがより安全になったことを証明できるか？」という問いに答えを出しました。確立されたプログラムを運用する大手顧客から脆弱性や問題修正のデータを収集し、顧客の検証を経て、セキュアな開発者が作成したコードは、そうでない開発者が作成したコードと比較して脆弱性が中央値で53%減少したことを証明しました。また、セキュアな開発者はセキュリティ問題を2〜3倍速く修正でき、時間の節約とリスク低減につながることも実証しました。

その先駆けとなったのがSCW Trust Scoreです。これは唯一、企業のセキュアコーディングプログラムの影響を定量化できるベンチマーク機能です。セキュリティリーダーは初めて、開発チームのセキュアコーディングスキルに関する詳細なデータに基づいた洞察を得て、業界標準と比較できるようになりました。これは、プログラムの重要な調整を行い、個々の開発者にセキュリティスキルを一生涯強化するための学習パスを提供するために、多くの人が待ち望んでいた完璧な可視性です。さらに、元米国サイバー局長のChris Inglis氏と、Paladin Global Institute会長で元米国サイバー局長代行のKemba Walden氏と共に研究論文も発表しました。

その後、SCW Trust Agentをリリースしました。これは、組織の全コードリポジトリを可視化し、すべてのコミットを開発者のセキュアコーディングスキルと照らし合わせて分析する付随製品です。SCW Trust AgentはSCW Trust Scoreを基盤としており、連携することで、企業のセキュリティプログラムが各コミットにどれほど効果的に適用されているかを実証します。

これらのツールは、企業のセキュリティリーダーがCISAのSecure-by-Designガイドラインのような目標を達成する上で不可欠です。開発者のセキュリティスキル、セキュアなコミット、そして最終的には脆弱性の根絶を検証することは、実証済みのセキュアな設計原則に不可欠な要素です。

パートナーの皆さん、こんにちは！私たちのパートナーネットワークは、顧客基盤と同様に成長を続けています。

サイバーセキュリティ業界に身を置く中で心温まることの一つは、私たちが本質的に、情熱を持った大きなギークコミュニティであり、相互の成功だけでなく、すべての人にとってより安全なデジタル世界を追求するために力を合わせることを厭わないという点です。

私たちは、多くのセキュリティおよびテクノロジー企業をビジネスパートナーと呼べることを光栄に思っており、パートナープログラムは私たちの成長を促進する上で重要な役割を果たしています。2024年の終わりには、情報管理の世界的リーダーであるOpenTextとの2社目のOEMパートナーシップを発表しました。この展開は、主要なOEMパートナーであるBlack Duckと相まって、企業とそのセキュリティプログラムの現代的なニーズに応える、包括的で大規模なソリューションを提供する素晴らしい機会をもたらしてくれます。さらに、現在650社以上のエンタープライズ顧客を抱えています。4人のチームで最初の大きなクライアントを祝うために安いランチを奢った10年前のささやかな始まりから、開発者を変化の担い手として予防的なセキュリティに取り組むことを恐れないクライアントを、確実に獲得してきました。

さらに、現在650社以上のエンタープライズ顧客を抱えています。4人のチームで最初の大きなクライアントを祝うために安いランチを奢った10年前のささやかな始まりから、開発者を変化の担い手として予防的なセキュリティに取り組むことを恐れないクライアントを、確実に獲得してきました。

究極の破壊者であるAIと、開発者主導型セキュリティの未来。

人工知能、LLM、AIコーディングツールは、2年以上前からIT専門家の間で話題となっており、私たちは今、技術史における決定的な瞬間に立たされています。ほぼすべてのカテゴリーでAIツールが普及し、生産性の飛躍的な向上が期待されています。ソフトウェア開発においても、最近のGitHubの調査によると、エンジニアの多くがAIを活用したコーディングアシスタントの導入を開始しています。

これらのツールは、組織の38%しか使用を承認していないにもかかわらず、ソフトウェア開発の風景の一部となっています。その利用は避けられず、「シャドーAI」のような状況を作り出すのではなく、セキュリティリーダーは開発者を安全で責任あるコーディングの旅へと導くことに注力すべきです。セキュリティ意識の高い開発者は、スキル不足の開発者が引き起こすリスクを増大させることなく、生産性向上の恩恵を真に受けるために必要な批判的思考とセキュリティの専門知識を持って、これらのツールを使いこなすことができます。

2025年は、AIコーディングのさらなる進化を目の当たりにする年となるでしょう。私たちは、企業がこの分野やその他の多くの領域で開発者リスク管理を効果的に適用できるよう、いくつかの秘策を用意しています。私たちの旅がどこへ向かうのか、ぜひご期待ください。