開発者にセキュリティ意識を持ってコーディングしてほしいですか？それなら、トレーニングを彼らの作業環境に届けましょう。

ソフトウェア開発ライフサイクル（SDLC）は一見、何の問題もないプロセスのように思えます。私たちは皆、魔法のようなデジタル製品を生み出し、社会に欠かせないサービスを届けるために協力し合っています。

しかし、ソフトウェア開発プロジェクトに携わったことがある方ならご存知の通り、それは多くの場合、数々の試練や困難が待ち受ける過酷な道のりです。やりがいはあるものの、燃え尽き症候群は現実の問題であり、ソフトウェアへの需要が高まる中、開発チームは常に光速で走り続けることを求められています。

そこにさらに「プロジェクト内のセキュリティ責任」という新たなタスクが加わるとどうなるでしょうか。最悪の場合、個々の開発者の負担が限界を超えて崩壊を招きかねません。現実的には、セキュリティが優先順位の低いものとして扱われ、納期を優先するために後回しにされてしまいます。開発者の多くがセキュアコーディングの訓練を受けておらず、マネージャーもセキュリティを優先していない現状では、データ侵害や欠陥のあるアプリのリリースが後を絶たず、バグだらけのコードに疲弊したセキュリティ専門家が離職していくのも無理はありません。

開発者には、AppSec（アプリケーションセキュリティ）の強力なサポーターが必要です。

こうした状況を考えれば、コーディング中にセキュリティが「難しすぎる」と敬遠され、セキュリティチームに丸投げされてしまう理由も理解できます。競合する締め切り、不十分なトレーニング、そして多忙な業務の中でセキュリティを気にかける余裕がないのです。しかし、コードへの需要がこれほど高い現状では、このままの体制を続けることはできません。だからこそ、優れた開発者は周囲と差をつけ、新しいスキルを習得し、何よりも安全なコードを書く能力を身につける必要があるのです。

ただし、ソフトウェアセキュリティの管理をすべて開発者の肩に負わせるべきではありません。それは依然としてAppSecチームの領域です（セキュリティ意識の高い開発者と協力できれば、AppSecチームも繰り返される一般的なバグの修正から解放され、本来の業務に集中できるようになります）。機能するDevSecOpsプロセスには、チームの全員がセキュリティの責任を分担するためのサポートとツールを必要としており、適切なトレーニングが不可欠です。適切なツールとトレーニングを組み合わせるには、開発者に寄り添い、インスピレーションを与え、前向きな変化を促そうとするAppSec専門家の洞察が求められます。

業務を中断させるようなトレーニングは効果が薄いだけでなく、開発者にとって煩わしいだけです。開発者が拒絶反応を示すような手法は機能しません。IDEや課題管理ツールに統合され、必要な情報を必要な瞬間に提供できるような、小分けにされた学習ソリューションが有効な代替案となります。

具体的な仕組みは以下の通りです。

「念のため」ではなく、「必要なその時」に。

文脈に沿った実践的な学習こそが最も効果的なトレーニングであり、必要なタイミングで小分けにして提供することが重要です。これは「Just in Time（JiT）」トレーニングと呼ばれ、セキュアコーディングを学ぶ開発者にとって非常に強力な手法です。

With origins in Toyota's lean manufacturing principles, JiT training is designed to activate on a need-to-know basis, in context, when it matters most. Has a developer just written something that looks to have improper permissions? What if a small back door was opened that allowed an attacker to remotely execute code? It will be far more memorable if developers can access knowledge right as they need it, rather than trawling back through documentation in Confluence, or Googling something that was touched on in training.

Just-in-Timeは「念のため」の学習とは対極にあります。後者は一般的な知識伝達の手法ですが、効率的とは言えません。開発者がセキュアコーディングのベストプラクティスを自然に取り入れ、現在の業務目標を達成しながらキャリアアップのメリットも実感できるような環境を作る必要があります。

開発者にトレーニングを追いかけさせるのはやめましょう。

日々の業務が多忙を極める中、わざわざ教室まで足を運んだり、作業を中断して5段階もの手順を踏まなければアクセスできないような座学中心のトレーニングを受ける動機が、開発者にどこにあるのでしょうか。

データ侵害を引き起こす脆弱性の多さを考えれば、多くの組織が現在行っている対策が効果的でないことは明らかです。Verizonの「2020年データ侵害調査報告書」では、データ侵害の43%がWeb脆弱性に起因すると指摘されています。開発者は、大学教育においても、職場でのスキルアップ研修においても、効果的なトレーニングを受けていません。もし受けていれば、SQLインジェクションや古典的なパストラバーサルといった一般的な脆弱性が、これほど大規模なデータ流出に悪用されることはなく、サイバーセキュリティ人材の不足もここまで深刻化していなかったはずです。

開発者がセキュリティを学ぶ現在の環境がこのような状況であれば、結果が芳しくないのも当然ではないでしょうか。Jira、GitHub、IDEなど、開発者が実際に作業する場所でトレーニングにアクセスできるようにし、よりスムーズで統合された、負担の少ない体験を提供することは、開発者と組織の双方にとってプラスの効果をもたらすはずです。業界全体が前進し、セキュリティ意識の向上を「贅沢なもの」ではなく、当たり前の環境にしていく必要があります。

開発ワークフローのセキュリティを強化する準備はできましたか？

セキュリティ意識の高い開発者は、コード構築の段階から組織を守るスキルを持つ人材として高く評価されています。GDPRの制裁金、PCI-DSSコンプライアンス規制、NISTガバナンス、そしてEquifaxのような数百万ドル規模の集団訴訟のリスクを考慮すれば、もはやセキュリティは選択肢ではなく必須事項です。

An integrated approach might be the catalyst to start winning over developers with less disruptive learning, and create some pathways for more in-depth courses, training up security champions, and generally inspiring that shared responsibility we need to keep the world's data safe and sound.

Download integration tools for Jira and GitHub now, and let us know what you think.