DevSecOpsの台頭と、組織にとって「シフトレフト」が真に意味するもの。

衝撃的な統計をご紹介しましょう。 中小企業の60%が、サイバー攻撃を受けてから6か月以内に廃業に追い込まれています*。大企業であっても、数百万ドル（時には数十億ドル！）もの損失を出し、ブランドの評判は失墜します。組織がセキュアコーディングの実践を強化する中、「シフトレフト」の動きが加速しています。DevSecOpsの台頭により、SDLCの初期段階からセキュアなコードを重視する姿勢が定着しつつあります。このトレンドが現実世界に与える影響を調査するため、Secure Code WarriorはEvans Data Corp***と共同で、セキュアコーディング、セキュアなコードの実践、およびセキュリティ運用に対する開発者の意識調査を実施しました。

シフトレフト ― 多層的な変革

脆弱性を事後的に修正するコストは、初期段階で修正する場合の30倍に達すると認識されるようになり、予防的措置が新たなゴールドスタンダードとなっています*。しかし、こうした措置を効果的に機能させるには、SDLCに関わる全員がセキュリティ意識を持つ必要があります。特に開発者の意識が重要です。

‍シフト1 ― 今、誰が責任を負うべきか？

DevSecOpsの台頭に伴い、DevSecOps、組織はセキュアコーディングの実践を積極的に取り入れています。その結果、今回の調査で浮き彫りになった最初の変化は、コードセキュリティに対する責任が運用レベルへと移行していることです。

開発者と開発マネージャーに「コードセキュリティの最終的な責任は誰が負うべきか」と尋ねたところ、46%が「プロジェクトリーダーやチームリーダー」と回答しました。これは、アプリケーションセキュリティチームが責任を負うべきだと答えた人の約2倍にのぼります。

これは、セキュリティの責任が従来のアプリケーションセキュリティチームから、開発チームのリーダーへと移行していることを明確に示しています。

シフト2 ― マネージャーの役割の変化

セキュアコードトレーニングを導入する圧力は、さまざまな方面からマネージャーにかかっています。

41%が、セキュアコードトレーニングの組織的必要性は経営層から生じていると回答しています。規制遵守への要求の高まりも要因の一つです。

マネージャーは、従来の開発からDevSecOpsへの移行を支援する重要な役割を担っており、トレーニングやツールの導入を決定する際の重要な意思決定者として台頭しています。

‍シフト3 ― 開発者の主体的な取り組み

しかし、変化を求める圧力は現場からも高まっています。マネージャーの24%が、開発者からの提案や推奨を受けてセキュアコーディングの実践を導入していると回答しました。この点は、企業のセキュリティプログラムへの貢献者として、開発者の役割がますます重要になっていることを強調しています。予防的なセキュアコーディングを重視するDevSecOpsへの移行により、開発者は「第一の防衛線」としての役割を担うようになっています。

シフト4 ― チームダイナミクスの向上

セキュアコードの実践は、ソフトウェアの品質に実質的な影響を与えるだけでなく、チームの働き方をより良い方向へ変えていきます。調査対象となった開発者の60%が、セキュアコードの実践によって他の開発者とのコミュニケーションが活発になったと回答しており、そのメリットはそれだけにとどまりません。

調査対象となった開発者とマネージャーの半数が、セキュアコーディングの実践によって開発者とリーダー間の協力関係が深まったと回答しました。46%が開発者とステークホルダー間の連携が強化されたと主張し、同時に41%がリーダーとステークホルダー間の協力体制が向上したと指摘しています。

DevSecOpsは、チーム、リーダー、ステークホルダーを新たな形で結びつけ、ソフトウェア開発ライフサイクルのさまざまな役割や段階を超えた協力を促進します。

調査対象となったマネージャーの62%が、セキュアなコーディングの実践がコードリリースの迅速化に寄与すると回答しています。この事実は、他のさまざまな変化と相まって、DevOpsアプローチへ移行する明確なメリットを浮き彫りにしています。しかし、本記事で前述したように、こうした施策を効果的に機能させるには、関係者全員がSDLC（ソフトウェア開発ライフサイクル）においてセキュリティを意識しなければなりません。この洞察は、組織が開発者をどのようにトレーニングすべきかという点において極めて重要です。チームは、新たに特定された脆弱性について学び、自分たちが普段 使用している言語やフレームワークに即した形で学習する必要があります。つまり、日々の業務環境において、既知の脆弱性を発見、特定、修正する方法を理解しなければならないのです。こうしたトレーニングを行うことで、チームはリスクの第一線から、防御の第一線へと変わります。

セキュアコーディング変革の推進者であるSecure Code Warriorは、人間中心のアプローチを通じて、貴組織の「シフトレフト」を支援し、セキュリティ体制をリアクティブ（事後対応型）からプロアクティブ（予防型）へと転換させます。

マネージャー、開発者、そして組織のニーズを一致させ、DevSecOpsの未来を実現するための、実践的で魅力あふれる実証済みのセキュアコーディングトレーニングについて詳しく知りたい方は、今すぐデモをご予約ください。

‍

*中小企業の60%がハッキング被害から6ヶ月以内に廃業。
‍https://cybersecurityventures.com/60-percent-of-small-companies-close-within-6-months-of-being-hacked/

**IBM Software Group; コードの欠陥を最小限に抑え、ソフトウェア品質を向上させ、開発コストを削減する。
‍https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

***リアクションから予防へ：2021年、変容するアプリケーションセキュリティの姿。 Secure Code WarriorおよびEvans Data Corp.
https://scw.buzz/3169uzS