30万人の開発者は、実際にどのようなセキュリティプラクティスを行っているのでしょうか？

BSIMM 8がリリースされました！素晴らしいですね。大規模組織がセキュアなソフトウェアを開発するためにどのようなセキュリティプラクティスを導入しているかを示す、唯一無二の大規模調査です。

この調査は、アプリケーションセキュリティの専門家がGary McGraw氏の監修のもとで実施しており、収集されたデータの一貫性と正確性を確保し、30万人の開発者の日常的な業務を明らかにしています。私の最新のプレゼンテーションでは、BSIMMの数値を引用し、平均して開発者100人につき2人のアプリケーションセキュリティ専門家が存在することに言及しました。

しかし、BSIMM4以降はその状況が変わっています。BSIMM8の報告によると、その数はさらに減少し、現在は開発者100人につき1.6人となっています。人材不足が深刻な中、単にアプリケーションセキュリティの専門家を増やすだけでは解決しません。今こそ、開発者が実践的かつ即座に利用でき、組織として拡張可能な、セキュアなコードを書くためのツールとトレーニングを提供する必要があります。

また、このレポートによると、トレーニングプラクティスの中で最も一般的な活動は、全従業員に対する意識向上トレーニングの提供であり、67%に達しています。私がSecure Code Warrior（SCW）で行っている活動をトレーニングプラクティスに照らし合わせてみたところ、当社のソリューションがレベル1（多くの企業が実施）からレベル3（実施企業はごくわずか）まで、トレーニングプラクティスの全12項目を網羅できることに気づきました。

一つのソリューションでプラクティス全体をカバーできるのです！12のトレーニングプラクティスのうち、Secure Code Warriorのソリューションにとって特に重要なものは以下の通りです。

• レベル1：意識向上トレーニングの提供
• レベル1：オンデマンドの個別トレーニングの提供
• レベル2：トレーニングを通じたサテライトの強化（SCWメトリクス）
• レベル3：カリキュラムを通じた進捗の評価（SCWバッジ）
• レベル3：ベンダーや外部委託先向けトレーニングの提供（SCWアセスメント）
• レベル3：外部向けソフトウェアセキュリティイベントの開催（SCWトーナメントモード）
• レベル3：トレーニングを通じたサテライトの特定（SCWメトリクス）

現在導入されているソリューションで、これらのプラクティスに十分対応できていると確信していますか？