セキュアコーディングに関して、開発チームが抱える最大の悩みとは何でしょうか？

セキュアでないコードは企業に多大な損失をもたらします。では、セキュアコーディングの実践を阻むものは何なのでしょうか。

あらゆるものがソフトウェアに依存する現代において、コードの安全性を確保することは極めて重要です。企業のブランド価値や財務の健全性は、それにかかっています。しかし、セキュアコーディングには多くの懸念があり、その完全かつ効果的な導入を阻む障壁も数多く存在します。今こそ、これまでとは全く異なる新しい働き方が求められています。そこで2020年、Secure Code WarriorはEvans Data Corp.と共同で、開発者とそのマネージャーを対象に、セキュアコーディング、セキュアコードの実践、およびセキュリティ運用に対する意識調査*を実施しました（ホワイトペーパーのダウンロードはこちら）。

‍現在、多くの組織がセキュアコードの実践を導入することに苦慮しています。開発者もマネージャーも、脆弱性への対応やコードに対する責任を負うことに強い懸念を抱いています。

より良いトレーニングと、セキュアコードの実践を支援するプログラムが必要であることは明らかです。このニーズは、開発者とそのマネージャーにセキュアコーディングに関する懸念を尋ねると浮き彫りになります。調査*の結果、両グループは共通の懸念を抱いているものの、それぞれの役割の違いにより、どの懸念が最も差し迫っているかという点では意見が分かれることがわかりました。

開発者が抱える最大の懸念は、「過去の脆弱性を繰り返すコードを含めてしまうこと」です。コードの品質で評価される開発者にとって、これは当然の懸念と言えます。どの開発者も、セキュアでないコードや、手戻りが発生してチームの足を引っ張るようなコードの源にはなりたくないと考えています。

開発者にとって2番目に大きな懸念は、同僚が持ち込むミスへの対応です。納期遵守やコードに対する責任も上位に挙がっており、セキュアコードの学習が困難であるという事実も同様です。これは、セキュアコードトレーニングに対する新しいアプローチの必要性を改めて示唆しています。

一方、マネージャーはより俯瞰的な視点を持っています。

チームのマネージャーやリーダーとして、彼らの最大の懸念はコードに対する責任です。チームが質の低いコードを作成すれば、その責任はマネージャーに帰結します。

過去の脆弱性を繰り返すコードが2番目に挙げられ、学習プロセスの難しさが3番目に来ています。既存のセキュアコードトレーニングのアプローチでは成果が出ていないため、マネージャーは新しいアプローチの必要性を痛感しています。‍

セキュアコーディングの実践を阻む障壁

マネージャーに組織内でセキュアコーディングの実践を導入する際の障壁について尋ねたところ、コミュニケーションとトレーニングという2つの点が明確に浮かび上がりました。

45%がステークホルダーと経営層間のコミュニケーション不足を大きな障害として挙げています。42%は新規採用者のセキュアコーディングスキルの欠如を嘆いています。同時に、40%がトレーニングの時間とリソースの不足を指摘しました。

組織全体でセキュアコードの実践を成功させるには、プロセスや人事に関連する障壁が存在します。

しかし、こうした困難な課題があっても前進することは可能です。新規採用者のスキル不足やトレーニングリソースの不足といった問題は、比較的対処しやすいものです。

脆弱性を阻止する最前線にいるのは開発者です。しかし、彼らはセキュリティという責務を果たすために必要なサポート、ツール、トレーニングを受けているのでしょうか？

彼らの懸念に基づけば、答えは「いいえ」です。

真のトレーニングとは、講義を受けるようなものであってはなりません。

セキュアコーディングの変革を推進するSecure Code Warriorは、開発者が主体的に学び、スキルを構築できる人間中心のアプローチを採用しています。当社の実績ある学習プラットフォームは、開発チームやセキュリティチームに対し、彼らのワークフローに組み込まれた文脈に沿った極めて関連性の高い学習を提供します。これにより、脆弱性を見つけるだけでなく、そもそも脆弱性を発生させないための力を養うことができます。

このような実践的なトレーニングは、スキルアップの絶好の機会です。脆弱性を排除し、チームと協力してより高品質なコードを作成することを目指す開発者にとって、キャリアを前進させるプラスの選択となるでしょう。

詳細について知りたい方、またチームが「シフトレフト」を実現し、セキュリティを損なうことなくセキュアなコードをより迅速にリリースできるようになる可能性を確認したい方は、今すぐデモをご予約ください。

‍*「事後対応から予防へ：変容するアプリケーションセキュリティ」Secure Code WarriorおよびEvans Data Corp. 2020年