SDLCにおける生産性向上とコスト削減の鍵

時は金なり。なぜ私たちはそれを無駄にしているのでしょうか？

エンジニアリングマネージャーの皆さん、現実を見つめ直す時が来ました。あなたのチームの開発者は、1日に何時間コーディングに費やしていますか？もちろん、彼らが一日中パジャマ姿でスナック菓子を食べながらNetflixを見ているなどと言わせたいわけではありません。そうではなく、チームが「有意義な仕事」に費やしている時間は、1日あたりどれくらいあると感じますか？

では、開発者が週にコーディングに費やす時間を見てみましょう。そのうち、レガシーコードの修正、バグの発見と対応、あるいは技術的負債の解消にどれだけの時間が割かれていますか？おそらく、かなりの割合を占めているはずです。

そのもどかしさはよく分かります。現在のソフトウェア開発ライフサイクルには克服困難な課題や欠落が多く、開発者は思うように進捗が出せず、フラストレーションを感じることが少なくありません。

• ソフトウェア開発チームは、平均してリリースの前にコードの約26%を手直ししています。
• 開発者は週平均13.5時間を技術的負債の解消だけに費やしています。これは年間700時間以上を過去のミスの修正に費やしている計算になります。
• 開発者は週に4時間を「質の低いコード」の修正に費やしています。これを1年間に換算すると、850億ドルもの機会損失に相当します。
• 41%の開発者が、組織において機能性とセキュリティは同等の重要性を持つと回答しています。
• 63%の開発者が、脆弱性のないセキュアなコードを書くことは非常に難しいと感じています。

出典：Stripeレポート「The Developer Coefficient」、「The State of Developer-Driven Security Survey 2022」

AppSecチームからコードの脆弱性を指摘されたコードレビューの経験を思い出してみてください。その脆弱性を修正するために、チームの作業が完全にストップしてしまった時のことを。多くの場合、開発者は解決策を見つけるために迷宮入りし、さらに中断前の作業状況を思い出すために余計な時間を費やすことになったはずです。

出典：Stripeレポート「The Developer Coefficient」

この終わりのない中断と手戻りのサイクルは、単に業務を妨げるだけでなく、生産性を低下させ、開発者の意欲を削ぐものです。

セキュアなコードを書き、同時に時間を節約するためのより良い方法があります。

誰もが「1日がもっと長ければいいのに」と願うものです。しかし、限られた時間の中で成果を出すには、がむしゃらに働くのではなく、より賢く働く方法を見つける必要があります。

解決策を求めて頭を抱えたり、他人が書いたかもしれないコードの欠陥や脆弱性を探して何時間も費やしたりする代わりに、最初からより良いコードを書く方がシンプルではないでしょうか？

現在、テクノロジー業界は行き詰まりを見せており、エンジニアリングマネージャーはあらゆる手段でコスト削減を迫られています。ソフトウェアライセンス、裁量的経費、さらには給与までもが削減の対象となっています。しかし、本当にそこまでしなければならないのでしょうか？ソフトウェア開発プロセスにおける非効率性は数値化しにくいものですが、最終的には最もコストがかかり、対処が困難な問題となります。

開発者主導のセキュリティ（Developer-driven security）を取り入れることで、開発者はプロセスのあらゆる段階でセキュリティを自律的に管理し、SDLC内での効率と生産性を高めることができます。

脆弱なコードの手直しに費やす時間を減らすことは、単なるコスト削減以上の意味を持ちます。それは、部門への再投資のチャンスです。無駄にされていた時間を、革新的な新機能の開発や、アプリケーションの有意義な改善に充てることができるのです。これまで進捗が出せずフラストレーションを感じていた開発者も、価値を生み出せるという機会を得ることで、モチベーションを取り戻すでしょう。

開発者が業務負荷に対して最もネガティブな影響を感じる要因は、過剰な業務量、優先順位の変更によるコードの破棄や時間の浪費、そして質の低いコードを修正するための十分な時間が与えられないことです。これに知識不足や脆弱性への場当たり的な対応が重なれば、さらなる時間の浪費とコストの増大を招くことになります。

出典：2022年 開発者主導のセキュリティに関する調査

テクノロジーは目まぐるしい速さで進化しています。開発者が取り残されることなく、そのスピードについていける環境を整えることが重要です。開発者が最初からセキュアにコーディングし、脆弱性を迅速に修正できる知識を身につけることは、将来的なコードの修正や技術的負債という悩ましい問題に対処する上で、チームに大きな優位性をもたらします。

企業がより迅速に動き、アジリティを維持し、新たなトレンドを取り入れるには、既存の開発者人材をより有効に活用する必要があります。開発者のセキュリティ意識を高めることは、単なるコストや生産性の問題に留まりません。SDLCのあらゆる段階にセキュリティを統合し、スキルアップを図ることは、チームにとって有益であるだけでなく、開発者個人のキャリアにとっても大きなプラスとなります。セキュアなコーディングスキルを持つ開発者は、将来的に高い評価を受けるでしょう。なぜなら、セキュアなコーディングは、将来的なトラブルを未然に防ぐことにつながるからです。

「シフトレフト」とは単にスピードを上げることではなく、スピードを犠牲にすることなく、開発者がセキュリティの責任を分担できるようにすることです。適切に実施されれば、セキュリティスキルを備えた開発者は、手戻りの原因となる脆弱性を減らし、ソフトウェアリリースの速度を維持し、イノベーションを阻害することなく高品質なコードを保証することで、生産性を向上させます。

よりスマートに、より速く、セキュアなコーディングを

Secure Code Warriorは、開発者がセキュアにコーディングするためのスキルを習得させることで、セキュリティ重視の開発文化を醸成します。当社の主力製品であるラーニングプラットフォームは、実践的なスキルベースの学習パス、ハンズオンミッション、コンテキストに応じたツールを提供し、開発者が迅速に学び、構築し、スキルを応用してセキュアなコードを高速で記述できるように支援します。