すべての開発者が就職先候補に尋ねるべき、100万ドルの価値がある問い

すべての開発者が、新人であれベテランであれ、自問すべき問いがあります。そして、その答えは極めて重要です。アジャイルな現代において、この問いはさらに重要性を増しています。なぜなら、それがソフトウェアエンジニアとしての成功、そして次の雇用主にとってのあなたの価値を直接左右するからです。

それは、数百万ドルの価値がある問いです。いえ、実際には数千万ドル、いやそれ以上の価値がある問いと言えるでしょう！

「セキュアなコーディングを支援する体制は整っていますか？」

データ侵害による平均被害額は、現在360万米ドルに達しています。今年、あなたの会社が侵害を受ける確率は4分の1という高さです。こうした事実を踏まえると、大学を卒業する開発者がセキュアコーディングの能力を身につけ、セキュリティがDNAに組み込まれた状態で社会に出てこない現状に、多くの人が抱くフラストレーションを私も共有します。

なぜでしょうか。ソフトウェアエンジニアリングは、まだ比較的新しい職業だからです。これまで、コードを素早く構築し、エレガントで機能的にすることに重点が置かれ、コードをセキュアにすることへの関心は非常に限定的でした。手法、技術、言語、そして機会の変化の速さが、こうした重要なスキルギャップをさらに悪化させています。

学術システムをすぐに変えることはできません。そのため、開発者も企業も、セキュアコーディングのスキルは現場で学ぶ必要があると認識すべきです。失敗から学べる職業もありますが、そうでない職業もあります。サイバーセキュリティはまさに後者です。

事実が示す通り、現場での開発者向けセキュリティトレーニングも十分とは言えません。世界で発生する主要なセキュリティ侵害のほとんどは、コーディングエラーに起因しています。ハッカーはこれを利用してネットワーク上の権限を奪取し、貴重なデータにアクセスして盗み出します。Verizonのデータ侵害調査報告書（DBIR）2017年版によると、すべての侵害の30%がWebアプリケーションのセキュリティ脆弱性に直接起因しており、この結論は2013年のDBIR報告以来一貫しています。

2017年8月に発表された「2017 Global DevSecOps Skills Survey」は、私たちがすでに知っていた事実を裏付けました。DevOps専門家の65%がIT業界に入る上でDevSecOpsの知識を持つことは非常に重要だと考えている一方で、70%が今日のDevSecOpsの世界で成功するために必要なトレーニングを正規教育で受けていないと感じています。

調査対象となった採用担当者の約40%が、セキュリティテストに関する十分な知識を持つ万能型のハイエンド開発者を見つけるのが最も困難だと回答しました。回答者の70%は、自身が受けたセキュリティ教育は現在の職務には不十分だと述べています。実際、トレーニングの機会が与えられていると答えたのはわずか4%未満でした。

私は、プロのホワイトハッカーチームと10年近く仕事をする中で、これを直接目の当たりにしました。悲劇的なほど定期的に、私たちは大企業、スタートアップ、政府機関に侵入し、常に同じ弱点を発見してきました。

だからこそ、開発者は採用時に声を上げる必要があります。もし応募先の企業が開発者のセキュリティトレーニングを真剣に考えていないなら、どのような会社に入ろうとしているのかを再考すべきです。

次に尋ねるべきは、そのトレーニングをどのように提供するのかという点です。実践的でインタラクティブな内容でしょうか？スライドや動画、クリックするだけのデモ、あるいは抽象的な議論による脆弱性トレーニングでは、実際のコーディングに直接役立つことはほとんどありません。最新の脆弱性情報を常にアップデートしてくれるでしょうか？学べるセキュリティギルドやコミュニティはありますか？困ったときに頼れるセキュリティの専門家はいますか？

セキュアコーディングのスキルを磨くには、特定のコーディングフレームワークを用いた実践的な課題に取り組み、多様なシナリオでさまざまな脆弱性に直面する継続的な学習が必要です。SQLインジェクションは、一つの例を見ただけでは理解できません。危険なコーディングパターンを認識できるようになるためには、多様な種類の複数の例に触れる必要があります。

ある顧客企業では、開発者に毎日1つの課題（5分間）を2か月間継続させました。トレーニング前後のスキルをテストしたところ、数百人の開発者グループ全体でセキュアコーディング能力が60%向上しました。これは、ライフサイクルの後半でセキュリティバグを見つけて修正するためのリソースが削減され、長期的に大きなコスト削減につながることを意味します。つまり、ハッカーがあなたのコードを悪用して会社のデータを侵害することはなくなるのです。

IDCの調査によると、2014年の時点で世界には1,100万人のプロの開発者がいました。2015年にBurning Glassが調査したところ、コーディングスキルを必要とする職種は700万件にのぼり、プログラミング関連の仕事は市場平均より12%速いペースで増加していることがわかりました。

ソフトウェア関連の仕事はたくさんあります。だからこそ、毅然とした態度で、自社のセキュリティ、あなたのセキュリティ、そして顧客のセキュリティを守ることに尽力している雇用主を選んでください。ひいては、あなた自身に投資してくれる企業を選びましょう。

すべての開発者が、新人であれベテランであれ、自問すべき問いがあります。そして、その答えは極めて重要です。アジャイルな現代において、この問いはさらに重要性を増しています。なぜなら、それがソフトウェアエンジニアとしての成功、そして次の雇用主にとってのあなたの価値を直接左右するからです。

それはまさに、100万ドルの価値がある問いです。いえ、何百万ドルもの価値がある問いと言えるでしょう！

「セキュアなコーディングを支援する体制は整っていますか？」