ソフトウェアセキュリティを向上させる鍵、ゲーミフィケーションとは

AppSecマネージャー、CISO、CIO、サイバーセキュリティの専門家など、ソフトウェア開発とセキュリティのキャリアを通じて、世界中のあらゆる企業で働く多くの人々と対話してきました。

置かれている状況やチームの経験値、あるいは絶えず変化するデジタル世界でどれだけの時間が経過しようとも、常に変わらない一つの問題があります。それは、開発チームをセキュリティに前向きに関与させることが極めて難しいという点です。セキュリティは依然として忌まわしい言葉であり、チーム間の対立の火種であり、業界にとって非常に厄介な存在であり続けています。

しかし、ソフトウェアセキュリティは、私たちがこれまで通りの考え方を続けていいほど軽視できるものではありません。私たちは対話のあり方を変え、セキュリティをすべての開発者の業務に不可欠なものにする必要があります。そのための最善の方法の一つは、ゲーミフィケーションなどを通じて開発者がセキュリティに主体的に関わり、力を発揮できるようにすることだと考えています。

現在の状況

開発者は大学でセキュアなコードを書くための実践的な知識をほとんど学ばずに卒業し、セキュリティ教育が優先されない職場で働いています（優先される場合でも、それは健康や安全に関する義務的なコンプライアンス動画の一部であることが多く、あまりに退屈で、セキュアコーディングに関心を持つ人など誰もいません）。多くの場合、彼らが最初に経験するセキュリティとは、突然リリースを中断させる監査やテストのバグ報告であり、創造的な思考を妨げる最優先の障害として認識されます。彼らはセキュリティ担当者と対立し、その結果、彼らの心の中で「セキュリティ」は「批判」と同義になってしまうのです。残念なことです。

ソフトウェアセキュリティに対するこのような否定的な認識が蔓延しているのは、本当に残念なことです。結局のところ、私のキャリアの中で最も素晴らしい思い出のいくつかは、ソフトウェアセキュリティを学んだことに関連しています。ハッキングを始めた当初、私はカンファレンスに参加し、仲間とスキルを競い合い（正直に言えば、少し自慢もして）、自分と同じようにソフトウェアを壊すことを楽しむ人々と出会うことに大きな喜びを感じていました。

BruCon、DefCon、BlackHat……こうしたイベントは、私のような人間に、友好的な競争を通じてスキルを磨く機会を与えてくれました。反社会的な行為なので公言はできませんが、中には他の参加者のスマートフォンに侵入し、その情報をプレゼンテーション画面に映し出してハッキングの腕前を披露する人もいました。欠陥を見つけ、悪用し、修正してソフトウェアをより良くする。それは一つのゲームでした。数年前、私は中東で何百人もの子供たちにサイバーセキュリティを教える機会に恵まれました。ゲームをしながらパスワードの総当たり攻撃やBase64エンコーディングを学んでいた、当時8歳の少女のことは今でも忘れられません。

ゲーミフィケーションはコーディングスキルの習得にも活用されています。世界中の教育機関がこのアプローチを取り入れ、幼い子供から高校生までプログラミングを教えています。4歳の子供でもCodeCampのようなホリデープログラムに定期的に参加しており、Pythonなどの言語を子供たちに教える素晴らしいオンラインプログラムも数多く存在します。私は4歳の娘のために、画面を使わない素晴らしいコーディングツールCubettoを購入したほどです。

しかし、こうした楽しさや進歩がある一方で、ギャップも存在します。開発者にセキュアなコードの書き方を教えるためにゲーミフィケーションを活用しようと考えた人は、これまでほとんどいませんでした。

いえ……ほとんど、です。数年前、私はセキュリティを再び刺激的なものにし、開発者が自ら関わり、楽しみながら取り組めるようにする必要があるという結論に達しました。

ゲーミフィケーション：シンプルで前向きな道。

開発者にセキュリティの知識を授け、力を与えたいという強い思いが、私をSecure Code Warriorの設立へと導きました。ソフトウェアセキュリティは非常に重要であり、同時に心躍るような体験にもなり得るのです。

そう考えているのは私だけではありません。

ゲーミフィケーションは、どんなに退屈な作業でも楽しく変える力があり、人々が勝利や進歩を求めて継続的に取り組む意欲を維持させます。『Pokémon GO!』が、最も怠け者な人さえもソファから立ち上がらせ、外に出て架空の生き物を探させたことや、FitBitが多くの人にとって歩数目標を達成することを日課にしたことを見れば明らかです。目標が達成できなかったり、連続記録が途絶えたり、バッジを獲得できなかったりすると、人は非常にリアルな失望感を感じるのです。

さて、セキュリティトレーニングの話に戻りましょう。私たちは多くのクライアントを通じて、ゲーミフィケーションが組織のセキュリティ文化を根本から変え、AppSecチームと開発チームの間に架け橋を築き、より高い水準のソフトウェア開発を支援する鍵であることを証明してきました。

現在、セキュリティは開発者の優先事項ではありません。トレーニング手法に友好的で競争心あふれる魅力的な要素を加えることで、彼らは単に「プレイ」するだけでなく、ポイントを獲得し、ハイスコアを更新し、精度を高め、チームメンバーと競い合うために、自ら進んで戻ってくるようになるのです。

成功するトレーニングとは、このような形であると私たちは確信しています。

• 開発者は、使い慣れた言語やフレームワークを使用して、実際のコードで作業できます。
• 課題は短く、一般的なセキュリティ脆弱性を網羅しています。
• 課題は常に拡充・更新されるため、開発者は継続的にスキルを磨くことができます。
• 課題の難易度はさまざまで、シニア開発者から経験の浅い開発者まで幅広く取り組めます。
• 開発者とそのマネージャーは、完了した課題、強みと弱み、トレーニングに費やした時間、全体的な正答率など、進捗状況を確認できます。

当社の主要クライアントの1社は、ゲーミフィケーションプラットフォームの真の魅力を導入時に証明してくれました。開発者チームにテーマ別のグッズを配布し、ゲームの勝者に豪華な賞品を用意するなど、トーナメントを忘れられない一日にしたのです。それ以来、国際大会も開催されており、チーム全体が現在も熱心にトレーニングを続けています。

ソフトウェア革命はここから始まります。オーストラリアの銀行業界は、バグのないコードを目指す取り組みにおいて、ゲーミフィケーションを活用したトレーニングを先駆的に導入しています。従来の退屈なトレーニングを覆す革新的なアプローチです。当社のクライアントが実施したハイレベルなトーナメントをぜひご覧ください。チームのレベルアップに向けて、私たちと一緒に始めませんか？

私たちは、セキュリティをすべての開発者の業務に不可欠なものにするよう、対話のあり方を変えていく必要があります。そのための最善の方法の一つは、ゲーミフィケーションなどを通じて、開発者がセキュリティに主体的に取り組めるよう支援し、関与を促すことだと考えています。