アジャイル学習プラットフォームのROI
SDLCにおけるセキュアコーディングのアジャイル学習がもたらす成果
本稿は、セキュアコーディングのためのアジャイル学習プラットフォームの特性とメリットを解説する3部構成ブログシリーズの第3回です。第1回では、アジャイル学習の概念と、Secure Code Warriorのプラットフォームがいかにアジャイルの原則を体現しているかを紹介しました。第2回では、アジャイル学習プラットフォームが従来のコンプライアンス重視のセキュリティトレーニングに取って代わる仕組みを探りました。
アジャイル学習プラットフォームは、日々の業務に真に統合された実践的かつ文脈に沿った教育を通じて、学習者が新しいスキルをより効果的に習得・活用できる学習体験を提供します。SCWが開発者のセキュアコーディングスキル習得のために適用しているこの学習アプローチは、従来の学習手法とは一線を画すものです。シリーズ最終回となる本稿では、セキュアコーディングのためのアジャイル学習プラットフォームから組織が期待できるROIと、その数値を算出するためのモデルについて解説します。
ビジネスへの影響
セキュアコーディング学習にアジャイルアプローチを採用した組織は、脆弱性の修正速度向上と手戻りコストの回避という2つのレバーにより、2倍から3倍のビジネスインパクトを実現しています。
SDLCの早期段階で脆弱性に対処するほど、被害を抑え、修正コストを低減できます。Aetnaの元最高セキュリティ責任者であり、MassMutualのCISOも務めたセキュリティ専門家Jim Routh氏によると、SDLCの各フェーズにおける欠陥1件あたりのコストは、リリース後のメンテナンス段階では14,000ドル以上に達します。テスト段階で対処すればコストは半減し、コーディング段階で対処すればコストを14分の1に抑えることが可能です。
開発者が脆弱性を迅速に修正し、あるいは未然に防ぐ能力を備えるほど、組織がソフトウェア製品や社内アプリケーションで負担すべきコストとリスクは軽減されます。脆弱性の防止とソフトウェア品質への投資を重視する組織は、ビジネスに即効性をもたらすよう設計された、柔軟な学習体験と多様な学習パスを提供するアジャイル学習プラットフォームを開発者に提供しています。
NISTの調査によると、NIST脆弱性の修正に必要な時間はケースバイケースですが、以下の表に示す推定値は、大手企業での実例に基づいています。
SCWの顧客からは、チームが新しいセキュアコーディングスキルを習得した後、開発者が脆弱性を修正する速度が最大50%〜60%向上し、本番環境のコードにおける高リスクな脆弱性が50%減少したとの報告を受けています。組織によって状況は異なりますが、これらの成果は5,000人以上の開発者を抱える大手企業で実際に確認されています。開発者の生産性向上は、最終的な収益に直結しています。
運用コストの削減：脆弱性の修正速度向上
よりセキュアなソフトウェア開発プロセスの経済的インパクトと、アジャイル学習プラットフォームへの投資がいかに開発者の修正速度向上に寄与するかを理解するために、以下のモデルを使用し、青色の変数に貴社の数値を当てはめてみてください。
ベースライン：
MTTR（平均修復時間）に対するアジャイル学習プラットフォームの想定効果
予防価値：手戻りコストの回避
アジャイル学習プラットフォームは、開発者が最初からセキュアなコードを書けるよう支援します。この経済的インパクトを算出するためのモデルを以下に示します。
アジャイル学習アプローチがもたらす変化
Secure Code Warrior（SCW）のアジャイル学習プラットフォームは、従来の開発者向けセキュリティトレーニングよりも優れたソリューションです。SCWの導入企業では素晴らしい成果が報告されていますが、その具体的な数値は各社のコスト構造や脆弱性指標によって異なります。大手金融サービス企業のEnvestnet社では、SCWで学習した開発者は、そうでない開発者と比較して2.7倍多くの脆弱性を修正しました。さらに、SCWで学習した1,200名の開発者グループでは、修正キューにおける脆弱性の処理率が120%向上しました。
ビジネスへの投資と同様、各社の状況に応じた評価が重要です。当社のチームが貴社の現状分析をサポートし、最適なビジネスケースを策定します。独自に影響を評価される場合は、本ブログで紹介しているモデルをご活用ください。また、英国の会計・ERPソフトウェア企業であるSage社のウェビナーもぜひご覧ください。同社は、強固なセキュリティ文化を構築する取り組みの一環として、脆弱性のMTTR（平均修復時間）を82%削減した事例を紹介しています。
Secure Code Warriorについて
Secure Code Warriorは、開発者がセキュアなコードを書くためのスキルを習得できるプラットフォームです。アジャイル学習手法を採用することで、ソフトウェアセキュリティの原則を学び、実践し、定着させることができる、最も効果的なソリューションです。世界600社以上の企業が、アジャイル学習プログラムの導入、セキュアなソフトウェアの迅速な提供、そして開発者主導のセキュリティ文化の醸成のためにSecure Code Warriorを採用しています。詳細をご希望ですか？デモをリクエストしてください。
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
