足場学習がセキュリティに強い開発者を育てる理由

テクノロジー関連のニュースを数分眺めるだけで、脅威の状況がいかに危険なものになっているかがすぐにわかります。毎日、大規模な侵害、新たな脆弱性、あるいはサイバー攻撃者や犯罪者による深刻な悪用の脅威が報告されているようです。業界のほぼすべての指標やレポートが、ますます危険な数のサイバー脅威を示しており、ほとんどの専門家がこの傾向は今後数年間続くと予測しています。

こうした新たな脅威に対し、ITセキュリティの現場は人員不足と人手不足に直面しています。高給であり、どの企業や組織にとっても不可欠な存在であるにもかかわらず、セキュリティ担当者は常に不足しています。戦略国際問題研究所（CSIS）が実施した最近の調査では、IT意思決定者の82%が組織でサイバーセキュリティのスキルが不足していると回答し、71%がその不足により組織に直接的かつ測定可能な損害が生じていると回答しました。報告書によると、米国だけでも、雇用者数が約94万人であるこの分野で、52万人以上のサイバーセキュリティ関連の求人が埋まっていないとのことです。

世界中で現在、約350万人のサイバーセキュリティ関連の職が埋まっておらず、多額の報酬を支払ってでも優秀な専門家を採用・維持しようとする組織でさえ、適切な候補者を見つけるのに苦労しています。平均すると、サイバーセキュリティの職を埋めるには、他の職種よりも約21%長く時間がかかり、そもそも採用できないことも珍しくありません。

開発者支援はあまりにも長い間無視されてきました

私たちは過去の多くのブログで、サイバーセキュリティ防御における重要なギャップを埋めるために開発者を活用できると指摘してきました。ただ、従来、開発者はサイバーセキュリティのトレーニングを受けたことがありませんでした。彼らの仕事のパフォーマンスは、ほぼ完全にスピードとデプロイまでの時間に依存していました。セキュリティは、後工程のAppSecチームの仕事だったのです。

残念ながら、単に方針を転換して、開発者に突然アプリケーションやプログラムにセキュリティを追加するよう求めるだけでは不十分です。彼らがその変更を望んでいたとしても（調査によると多くの開発者が望んでいます）、それを実現するためのトレーニングが必要です。また、経営陣からの奨励とサポートも必要ですが、有意義な学習の機会を提供することが、最初にして最大の障害となることがよくあります。

世界中で高給で安全性の高いITセキュリティの職が何百万も埋まっていないのには理由があります。もし簡単な仕事なら、誰もがその分野に飛び込んでいるでしょう。脅威と戦い、コード内の脆弱性を排除する方法を学ぶのは難しく、脅威の状況は常に変化しています。サイバーセキュリティを教えることは、比較的技術に精通した開発者に対してであっても、すぐに古くなり記憶に残らない静的なトレーニングでは効率的に行えません。特に、すでに過密なスケジュールにそうした要件が追加される場合、その効果は最小限にとどまるでしょう。

より高い場所へ到達するための足場を築く

従来の方法でサイバーセキュリティのスキルを教えることは、地面から足を離さずに超高層ビルを建てようとするようなものです。サイバーセキュリティのような複雑な分野の多くの高度な概念を習得するために必要な基礎が学生にないため、それは不可能です。これを補うために、足場学習（スキャフォールディング）という概念を採用できます。

スキルアップに足場学習、つまり「階層型」アプローチを用いる場合、大きなトピックは通常、個別の学習体験や概念に分解されます。これにより、学生は適切な演習と指導を通じて各概念を確実に習得でき、各コンポーネントに必要なすべてのサポートが提供されます。建物が高くなるにつれて物理的な足場が構築されるのと同様に、新しくより高度な概念が、すでに習得した概念の上に積み重ねられます。このようにして、学生は支援なしでは習得できないレベルの理解とスキル獲得を達成できるようになります。

そして物理的な足場と同様に、そのサポートは不要になった時点で段階的に取り除かれ、学生が習熟するにつれてより多くの責任が彼らに委ねられます。

足場学習は主に、支援なしで難しい課題に取り組む際に学生が感じるフラストレーション、威圧感、落胆といった否定的な感情や自己認識を軽減するために使用されます。しかし、現代のサイバーセキュリティのような非常に難しい概念に取り組む際にも、大きな価値を発揮します。これは開発者を子供扱いする方法とは程遠く、セキュリティチームとのやり取りがフラストレーションや落胆をもたらす場合（特に、懸命に取り組んだ成果がバグ修正と批判とともに突き返される場合など）に、非常に役立ちます。

開発者がセキュアコーディングの基礎（通常はOWASP Top 10から開始）を理解するためのツールを与えられると、セキュリティバグがどのように発生し、なぜ危険であり、本番環境に反映される前にどのように修正すべきかを自分自身で確認できるようになります。そこから、より複雑な脆弱性に取り組むことで知識を広げ、適切な修正を適用する実践的な経験を積むことができます。層は少しずつ成長し、安全でないソフトウェアアーキテクチャや脅威モデリングといった高度なセキュリティ問題に直面したときも、それらの飛躍はそれほど威圧的ではなく、正確に対処できるようになります。

業界として、開発者にセキュリティの専門家になることを期待すべきではありません。しかし、組織が開発者支援の新しい基準を採用することで、より高品質なソフトウェアを生み出せるようになります。スキルアップに取り組むエンジニアを抱える組織にとっての追加の利点として、学習の各ステップ、つまり足場の各レベルが、学習と同時に直接的にサイバーセキュリティの向上につながります。結果を確認するためにコースの終了まで待つ必要はありません。

サイバーセキュリティの学習は難しく、適切な助けや指導なしに習得することはほぼ不可能です。足場学習を取り入れたセキュリティプログラムを採用することで、その効果を最大限に引き出し、メリットをほぼ即座に実感できるようになります。改善はほぼ直ちに始まり、時間の経過とともに継続的に向上していきます。

私たちと一緒にセキュリティに強い開発者を育てましょう。以下をご覧ください：

コース
ミッション
開発者トレーニング

...その他多数！