開発者主導のセキュリティがもたらすROI

不適切なコードがもたらすコスト

技術の飛躍的な進歩により、開発者はこれまで以上に迅速にコードをリリースできるようになりました。これはイノベーションの観点からは喜ばしいことですが、ソフトウェアの品質とセキュリティを拡張する上では困難を伴います。コードのリリース速度を維持する場合、追加のツールや研修プログラム、開発者のスキルアップへの投資を正当化することは、不可欠なビジネス機能というよりも「あれば望ましいもの」と見なされがちです。

コードを迅速にリリースすることは容易になりましたが、残念ながら安全なコードをリリースすることは容易になっておらず、組織はかつてないほど多くの脅威にさらされています。サイバー犯罪によるコストは世界中で驚異的な規模に達しており、急速に増加しています。実際、2020年のサイバー犯罪によるコストは約1兆ドルでした。データ侵害の平均コストは435万ドルに上り、既存顧客や潜在顧客の喪失、さらには検知、エスカレーション、修正作業に費やされるリソースなど、多大な損失をもたらしています。

こうした天文学的なコストにもかかわらず、半数以上の組織が、開発者に対して年1回の正式なセキュアコーディング研修を義務付けていません。

セキュリティ専門家であれば誰もが知っている通り、脆弱性の発見と修正は、いたちごっこのように感じられることがあります。すでに修復戦略を伴うセキュリティプログラムを導入していても、改善の余地は常に存在します。多くの組織では、災害復旧やバックアップ機能が試された際に、自社のセキュリティ対策が想定していたほど堅牢ではないことに気づかされます。サイバー攻撃に対する組織のレジリエンス（回復力）強化が最優先事項の一つであるなら、開発者に焦点を当てる「シフトレフト」の考え方を計画に取り入れ、セキュリティ体制を継続的に改善していくべきです。最初から安全なコードを構築し、脆弱性を迅速に特定・修正できる知識を備えた、権限を与えられた開発チームこそが、リスクを軽減するための最も費用対効果の高い手段となります。

開発者教育に関してよくある誤解は、それが単なるビジネス上のコスト、あるいは保険のようなものだという考え方です。アリアンツのDevSec意識向上エバンジェリストであるクラウス・クリンガー氏は次のように述べています。「すべては経営陣の意識から始まらなければなりません。開発者のトレーニングへの投資は、決して無駄な投資ではなく、品質、生産性、そして企業の評判に対する投資なのです」。

この分野ではROIを定量化することが難しい場合も多いですが、最終的に組織が考えるべきは、セキュリティ体制がどのようにリスクを軽減し、アプローチを効率化し、開発チームの時間と生産性を節約できるかという点です。

サイバーセキュリティのコストにおけるROIをどのように定量化するか？

ROIを考える際は、リスク軽減によるコスト削減と、セキュリティトレーニングによる影響という2つの異なる枠組みで捉えることが重要です。

よくある例を考えてみましょう。脆弱性や侵害により、Eコマースサイトが数日間オフラインになり、チームが問題の特定と修正に追われるケースです。この修復失敗のコストは、停止期間中の売上損失、認証情報の盗難による影響、顧客の信頼喪失（長期的な売上減少につながる）、そして問題解決に費やされた全体的な生産性の低下として定量化できます。

結局のところ、これは費用対効果の分析に帰結します。評価すべき重要な領域は、自社のセキュリティ成熟度、リスク許容度、そして維持または改善が必要なコードの領域です。

人々は成功や価値を判断する際、誤った指標に注目しがちです。おそらく私たちは、プログラムへの初期投資に対するリターンを気にするよりも、プログラムそのものがもたらすインパクトを測定すべきでしょう。

インパクトを証明するために測定する

ROIを確立するためには、測定可能な目標を作成する必要があります。まずは開発者のセキュアコーディングに関する知識を評価し、どのスキルを伸ばす必要があるのかを把握することから始めます。

出発点として、エンゲージメントを測定することで、より充実したトレーニングプログラムを構築するための戦略的な意思決定が可能になります。最も重要なのは、そのインパクトを測定することです。まずは、プログラムを開始する前に、コード分析、バグ報奨金制度、あるいは従来の脆弱性テストを通じて、各チームのソフトウェア開発ライフサイクル内で検出された脆弱性の数を把握することから始めましょう。トレーニングプログラムが望ましい成果を上げているかを知る最もシンプルな方法は、コードベース全体に混入する脆弱性が減少しているかを測定することです。

‍

ROIを評価するための主要な質問：‍

1. アプローチを効率化できていますか？

‍問題に対してツールを増やすだけで、根本的な解決に至っていないのではないでしょうか。技術スタックにツールを追加し続けることは、脆弱性の発見と修正において「穴だらけ」の手法を生むことになります。また、多くの脆弱性の源である「コード」そのものにはほとんど影響を与えないまま、運用コストだけが増大してしまいます。スキャンツールやペネトレーションテストツールは、もちろん武器の一部として不可欠ですが、それらを最後の防衛線にしてはなりません。‍

2. 効率性と生産性は向上していますか？

AppSec（アプリケーションセキュリティ）チームから差し戻されたコードの修正や、網羅的なコードレビューに費やす時間は、生産性を著しく低下させる要因となります。開発チームが自ら実践的なセキュアコーディングトレーニングに取り組めるよう支援し、緊急対応の頻度を減らすことは、セキュリティプログラムの成果を評価する優れた指標となります。‍

3. リスクを低減できていますか？

脆弱性の発見と修正は、巨大なパズルを解くような作業であり、堅牢な解決策を導き出すまでに数日、数週間、あるいは数ヶ月かかることもあります。開発者がソースコードレベルで修正の責任を持てるようになれば、AppSecチームはリスク監視や組織のセキュリティ体制強化に注力できるようになります。

4. （品質を維持しつつ）開発スピードを向上できていますか？

コードを素早くリリースすることが、常に良いとは限りません。近道をしてコードに脆弱性を混入させれば、将来的に多くの問題を引き起こし、技術的負債が蓄積されます。目先の利益だけを考えるのは解決策ではありません。最初からコードをセキュアに保つことでリスクを軽減し、将来的に問題が複雑化するのを防ぐことが重要です。
‍

追跡すべき推奨指標：

• エンゲージメント - トレーニングにどれだけの時間を割き、開発者はどのように取り組んでいるか。コースや評価を完了し、トーナメントに参加しているか。
• スキル - 強みはどこにあるか。改善が必要な領域はどこか。
• 脆弱性の削減 - コードレビュー中に脆弱性の目に見える減少はあるか。AppSecからの差し戻しは減っているか。
• 生産性 - 問題の修正にどれくらいの時間がかかっているか。脆弱性の削減に伴い、生産性や開発スピードは向上しているか。

シフトレフトで価値を創造する

侵害や脆弱性は年々急速に増加しています。まずはコードから着手し、セキュリティに対する包括的なアプローチを積極的に構築することが重要です。これにより、以下の効果が期待できます。

• 問題の一部しか解決しないツールに資金を投じるのではなく、最も貴重なリソースである「人材」に投資することで複雑さを軽減する
• コードのデプロイ後にAppSecによって特定されるような修正や手戻りを制限し、効率と全体的な有効性を向上させる
• リスクを軽減してコンプライアンスを達成し、高額な罰金や顧客の信頼喪失、さらにはデータ侵害による甚大な被害を回避する

短期的な思考や場当たり的な修正は避けましょう。それらは技術的負債と将来的なコスト増を招くだけです。スキルアップを促進し、開発者が脆弱性やサイバー犯罪に対する最強の防衛線となるよう長期的な計画を立てることで、その効果とコスト削減を実感してください。

‍