トラストスコアで明らかにする「セキュア・バイ・デザイン」なスキルアップ施策の価値

組織のセキュリティ体制を強化する確実な方法は、セキュアコーディングのベストプラクティスに関する開発者のスキルアップを促進することです。それには、開発者に必要な特定の学習パスを提供する基準やベンチマークを組み込んだフレームワークが必要です。しかし、セキュアコーディングは一度限りの修正ではありません。それは組織のDNAに組み込まれ、生き方そのものにならなければなりません。開発者は「シフトレフト」するだけでなく、最初から左側（開発の初期段階）に立ち、その状態を維持する必要があります。

単にトレーニングを提供するだけでは不十分です。組織は、開発者がトレーニングを完全に吸収し、ソフトウェア開発ライフサイクル（SDLC）の初期段階から日常業務の一環としてベストプラクティスを実践していることを確認する必要があります。開発者のパフォーマンスを追跡し、社内基準や業界ベンチマークと比較して進捗を測定することで、トレーニングへの投資に対するROIを効果的に評価しなければなりません。

Secure Code WarriorのTrust Scoreは、個々の開発者のパフォーマンスを可視化し、データを集約して組織全体のパフォーマンスを評価します。これにより、スキルアッププログラムの有効性を示すとともに、改善が必要な領域を特定できます。さらに、一般データ保護規則（GDPR）、PCIデータセキュリティ基準（PCI DSS）、カリフォルニア州消費者プライバシー法（CCPA）など、さまざまな規制要件へのコンプライアンスを確保する一助となります。

当社の調査により、セキュアコーディングのトレーニングが有効であることが実証されました。600以上の組織、25万人以上の学習者による2,000万件以上の学習データポイントに基づくアルゴリズムを活用した「Trust Score」は、脆弱性の削減におけるトレーニングの有効性と、その取り組みをさらに効果的にする方法を明らかにします。

トレーニングはセキュリティを向上させる ― 開発者がそれを理解していれば

長年、SDLCの初期段階でセキュリティのベストプラクティスを適用することは、ソフトウェア業界において「いつか実現できれば理想的だが、今日の優先事項ではない」という願望に近いものでした。しかし、ソフトウェア開発のスピードが絶えず加速し、ソフトウェアの脆弱性を標的とした巧妙かつ破壊的なサイバー脅威が増大する中、セキュアコーディングは不可欠なものとなりました。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Secure-by-Design（設計段階からのセキュリティ）イニシアチブを通じてセキュアコーディングを最優先事項として掲げており、これは国際的なムーブメントへと発展しています。

当社の調査はこの点を証明しています。「Secure-by-Design」アプローチとソフトウェア脆弱性の削減との間には明確な相関関係があります。SCWの顧客ベースの26%から得られた脆弱性削減データを分析した結果、開発者のトレーニングによりソフトウェアの脆弱性が22%から84%削減されたことがわかりました。この幅は、企業の規模（開発者数が少ない小規模企業の方がより劇的な結果が出る傾向がある）や、学習グループが特定の課題に集中していたかどうか（その場合、より高い割合で欠陥が排除された）といった変数によるものです。

大企業における結果は非常に一貫していました。7,000人以上の開発者を抱える企業では、開発者のセキュリティスキルアップにより、脆弱性が47%から53%削減されることが期待できます。例えば、1万人以上の開発者を抱える統計的に平均的な企業（プラットフォーム上でトップクラスの成績や最高のベンチマークを持つ企業ではない）でも、脆弱性が53%削減されました。

もちろん、最も効果的なトレーニングとは、画一的なアプローチではありません。開発者の作業環境や、彼らが行う開発の種類に合わせて調整されるべきものです。

企業はまず、開発者がセキュアなコードを書くことを、単にコードを書くのと同じくらい自然に行えるようにするために必要な基本スキルを確立することから始めるべきです。スキルアッププログラムは、彼らが行う業務の種類や使用する言語に合わせた、実世界のシナリオに基づく実践的かつアジャイルなトレーニングで構成される必要があります。また、業務スケジュールにトレーニングセッションを組み込める柔軟性も不可欠です。

開発者にとって、スキルセットにはコードを書くこと以上の能力が求められます。AIアシスタントやオープンソースリポジトリなどのサードパーティによって作成されたソフトウェアをチェックする能力が必要です。開発者は生成AIモデルを積極的に活用しており、より多くのコードをより迅速に作成できるという利点を高く評価しています。しかし、Snykの調査では、回答者の76%が「AI生成コードは人間が作成したコードよりも安全である」と答えた一方で、56.4%が「AIは時折、あるいは頻繁にエラーを導入する」と回答しています。また、同調査では80%の開発者がAIコードのセキュリティポリシーを適用していないことも判明しており、AIコードにおける問題が放置されている可能性が示唆されています。

「Secure-by-Design」アプローチでは、開発者はセキュリティチームと分離して作業するのではなく、連携してSDLCの初期段階でこれらの問題に対処し、コードが本番環境に移行される前に欠陥を特定・修正します。

Trust Scoreによる個人および組織のパフォーマンス測定

トレーニングを継続的に行うことも極めて重要です。企業は、経営層から現場の全社員に至るまで、セキュリティを最優先する文化を採用する必要があります。これは、SDLC全体を通じて継続的な改善とベストプラクティスの適用に焦点を当てるべきです。テクノロジーとサイバー犯罪者は進化を止めることはありません。サイバーセキュリティも同様であるべきです。ソフトウェアを開発する組織にとって、セキュリティの訓練を受けた開発者はその基盤となります。

だからこそ、トレーニングが効果的に定着していることを証明することは、トレーニングそのものと同じくらい重要です。Trust Scoreは、個々の開発者および組織全体のパフォーマンスを可視化するだけでなく、パフォーマンスデータを詳細に分析し、特定の言語、開発チーム、またはソフトウェアカテゴリに焦点を当てることを可能にします。個人および集約されたパフォーマンス結果のデータは、トレーニングの改善が必要な領域を特定するのにも役立ちます。例えば、開発者の日常的なパフォーマンスに望ましい効果をもたらしていない場合などがそれにあたります。

Trust Scoreは、組織が開発者のパフォーマンスを評価し、必要なセキュリティスキルを習得し、実践しているかを確認することで、彼らが「コーディングのライセンス」を獲得したことを保証します。これにより、組織は資格のある開発者に対して、最も機密性の高いデータや重要なソフトウェアプロジェクトへのアクセスを自信を持って許可する一方で、まだ準備が整っていない開発者にはアクセスを制限することが可能になります。

変化するセキュリティ文化の証

サイバーセキュリティは、もはや単なるセキュリティの問題ではありません。それはビジネス上の課題であり、多くの組織にとって最も価値のある資産である「データ」の整合性に影響を及ぼします。深刻な侵害は、組織の運営や評判、さらには存続そのものを脅かしかねません。規制当局もサイバーセキュリティの重要性を認識しており、規制をますます強化しています。また、UberやSolarWindsの事例に見られるように、CISOや経営陣に対して、刑事訴追を含めた厳しい法的措置を講じる姿勢も強めています。UberやSolarWindsの事例のように、

今日の環境において、全社的なセキュリティ文化の採用は不可欠です。企業の価値の多くがデータ、アプリケーション、サービスに依存している以上、セキュアコーディングはその文化の中核を成す要素です。文化的なマインドセットの一環としてターゲットを絞ったトレーニングやスキルアップを行い、その成果を証明することで、組織はセキュリティ体制の強化に向けた道を歩むことができます。

開発者主導のセキュリティプログラムには価値があります。その証拠がTrust Scoreです。