ソフトウェア開発における新たな成功指標としてのセキュアコード

ここ数年、市場投入までのスピードを優先するあまり、ネットワークセキュリティ、テラバイト単位の機密顧客データ、そしてかけがえのないブランドの評判といった多くのものが犠牲にされてきました。新機能や新サービスのリリースを加速させるという強烈なプレッシャーにより、開発チームは複雑化・分散化し、迅速な開発に注力する一方で、自らが作り出しかねない脆弱性や甚大なリスクに対する意識は希薄になっています。今こそ、新しい働き方が求められています。そこで2020年、Secure Code WarriorはEvans Data Corp.と共同で、セキュアコーディング、セキュアなコーディング慣行、およびセキュリティ運用に対する開発者とそのマネージャーの意識調査*を実施しました（ホワイトペーパーのダウンロードはこちら）。

プロジェクト成功のパフォーマンス指標：セキュリティはどこに位置づけられるか？

開発者やマネージャーはセキュアなコードの重要性を認識してはいますが、他の要素ほど重要視していません。ソフトウェア開発プロセスにおける最も重要な優先事項について尋ねたところ、以下の結果となりました。

• 76%がアプリケーションのパフォーマンス
• 62%が機能と機能性
• そして50%強がセキュアなコードを選択しました
  

プロジェクト成功の他のパフォーマンス指標と比較すると、セキュアコーディングは現時点では大きく引き離された3番手となっています。

現状では、プロジェクト完了後にのみコードを評価するパフォーマンス指標に基づいてプロジェクトの成功を判断していることは、驚くべきことではありません。

しかし、将来的にこれがどう変化するかを尋ねると、状況は一変します。組織が成功の指標としてセキュリティをどう捉えるかが変わりつつあり、セキュアコーディングの優先順位が高まっているのです。

将来のプロジェクト成功を測定する上で最も重要な優先事項について尋ねたところ、調査対象者の79%がセキュアコーディングの重要性は高まると回答しました。注目すべきは、他のどのパフォーマンス指標よりも、将来的にセキュリティの重要性が高まると考えている割合が圧倒的に高い点です。セキュアコーディングへの意識は高まっており、「シフトレフト」の動きも加速しています。セキュアコーディングの本質は、SDLC（ソフトウェア開発ライフサイクル）のより早い段階でセキュリティを考慮することにあります。つまり、後回しにするのではなく、ソフトウェアの作成開始時点からセキュリティを積極的に組み込むことを意味します。

CIOが組織の俊敏性を高めようとする中で、セキュアコーディング能力はイノベーションのための重要な武器となります。CIOやCISOは、自社の開発チームがリスクの第一線にいるのか、それとも防御の第一線にいるのかを慎重に検討すべきです。

この洞察は、組織が開発者をどのようにトレーニングすべきかという点において重要な意味を持ちます。チームは、最近特定された脆弱性について学び、自分たちが使用する言語やフレームワークで学習する必要があります。要するに、日々作業している環境の中で、既知の脆弱性を特定し、修正する方法を理解する必要があるのです。

セキュアコーディングの変革を推進するSecure Code Warriorは、開発者が主体的に学び、セキュアコーディングのスキルを構築できるよう支援する人間中心のアプローチを採用しています。セキュリティを犠牲にすることなく、シフトレフトを実現し、より迅速にセキュアなコードを出荷するチームの能力を向上させたいとお考えでしたら、今すぐデモをご予約ください。

‍

‍*「事後対応から予防へ：変容するアプリケーションセキュリティ」Secure Code WarriorおよびEvans Data Corp. 2020年