開発チームの優先順位において、セキュアなコードはどの位置を占めているのでしょうか？

サイバーセキュリティ攻撃の増加と巧妙化は、世界中のあらゆる分野や業界に変革をもたらしています。誰もが「シフトレフト」を試み、あらゆるプロセスや手順の初期段階からセキュリティを組み込もうとしています。DevSecOpsのような、ソフトウェアやアプリケーション開発の根幹にセキュリティを組み込むという、サイバー防御を強化するための全く新しい動きさえ生まれています。

こうした変化の多くは、開発者コミュニティに委ねられています。新しいソフトウェアやアプリケーションを設計・開発するのは開発者自身であるため、彼らにセキュアコーディングの実践を求めることは理にかなっているように思えます。結局のところ、アプリケーション開発の初期段階以上に「シフトレフト」できるタイミングはないからです。

しかし、開発者コミュニティはこの責任をどう感じているのでしょうか。これまでコーディングのスピードのみで評価されてきた開発者は、セキュリティの担い手という新たな役割をどう捉えているのでしょうか。また、企業経営陣は、質の高いトレーニングや報酬の拡充、そしてこの重要な責務を担うにふさわしい評価を通じて、彼らの取り組みを支援していると感じているのでしょうか。

2年目となる今年も、私たちはEvans Data Corp.と共同で、世界の開発者コミュニティを対象とした包括的な調査を実施しました。セキュアコーディングの実践に関するスキル、認識、行動、そしてソフトウェア開発ライフサイクル（SDLC）におけるそれらの影響と重要性について調査した結果、多くの点で非常に驚くべき事実が明らかになりました。

2022年版 開発者主導のセキュリティ調査レポート

Secure Code Warriorによる「開発者主導のセキュリティ調査」は、2021年12月にEvans Data Corpによって実施されました。アジア太平洋地域、ヨーロッパ、北米で活動する1,200名のソフトウェア開発者を対象に、コーディング、セキュリティ意識、トレーニング、サポート、モチベーションなどに関する質問を行いました。調査は英語で行われ、必要に応じて翻訳を行うことで、グローバルな視点から正確なデータを収集しました。回答者には、新規アプリケーションを開発している開発者だけでなく、開発コミュニティのマネージャーも含まれています。

驚くべき調査結果

調査のあらゆる側面を掘り下げた詳細なホワイトペーパー（ソフトウェアセキュリティ向上のための課題と機会）およびレポート（2022年版 開発者主導のセキュリティの現状）を、4月11日（月）に公開します。ホワイトペーパーには、セキュアコーディングの実践に関してコミュニティから寄せられた懸念や分析結果に加え、組織が開発チームのソフトウェアセキュリティ向上を支援するための推奨事項がまとめられています。

これらの課題のいくつかは、開発者と働く組織の担当者や、開発者コミュニティ自身にとっても疑問を抱かせるものかもしれません。私たちにとっても、まさにそうでした。

例えば、回答者のわずか14%しか、アプリケーションセキュリティを現在の最優先事項として挙げていませんでした。その代わりに、アプリケーションのパフォーマンスや機能の優先順位付けといった、より従来型の指標が依然として全体的な焦点となっています。

セキュリティの優先順位は非常に低く、調査対象の開発者の67%が、既知の脆弱性やエクスプロイトをコードに残したままにすることが日常的であると認めました。その理由として、厳しい納期、セキュリティよりも機能性を優先する姿勢、あるいはセキュリティ問題を修正するためのトレーニングや知識の不足が挙げられています。

多くの場合、開発者は、組織が「セキュアなコード」の定義を明確にしておらず、状況を改善するための適切なトレーニングやサポートも提供していないと述べています。

しかし、否定的な結果がある一方で、意識が変化していることも明らかです。開発者の大多数（66%）が今後12〜18ヶ月でセキュリティの優先順位が高まると予想しており、調査に参加した採用担当者の82%が、セキュリティの知識を持つ開発者の採用に関心を示しています。

調査結果から、開発者コミュニティと彼らが所属する組織が大きな変革に直面していることは明らかですが、幸いなことに、近未来および長期的な未来に向けた計画も急速に具体化しつつあります。

調査結果の詳細や、現在のセキュアコーディングの実践における課題、そして組織が開発者のセキュリティスキルを向上させ、最終的にソフトウェアセキュリティを強化するための機会について解説したホワイトペーパーとレポートの公開をお待ちください。

サイバーセキュリティや、ますます危険性を増す脅威の状況に関する洞察については、Secure Code Warriorのブログをご覧ください。また、革新的なテクノロジーやトレーニングを活用して、組織や顧客をより適切に保護する方法についても学ぶことができます。

‍