革新的なセキュリティ認定体験の創造

Tier-1金融機関がいかにして革新的なセキュリティ認定プログラムを構築したか

セキュリティコンプライアンスにおいて、ゲームは開発者の心をつかむ鍵となり得るか？

数百万人の顧客を抱え、信頼されるグローバル金融機関としての長い歴史を持ち、イノベーションとデジタルトランスフォーメーションの推進に注力するこのTier-1銀行は、組織独自の教育体験の一環としてSecure Code Warriorを活用しました。

同社は、機械学習やサイバーセキュリティを含む多岐にわたる分野で、数千人の従業員が実践的かつ最先端のスキルを習得できるよう支援する社内技術教育イニシアチブを立ち上げました。

金融サービス業界は現在、急激かつ根本的な変革期にあり、多くの企業が新興技術の急速な発展に合わせてサービス内容を刷新しています。本質的に、彼らは金融に特化した本格的なテクノロジー企業へと進化しているのです。当社のクライアントは、このアプローチによってトレンドに追随するだけでなく、他社よりも優れた（そして賢明な）成果を上げています。彼らは、極めて重要かつ成長著しい分野で常に最新の知識を維持するために人材へ多大な投資を行っており、その結果、FinTechのイノベーションと専門知識の最前線に立っています。

このプログラムを成功させるため、クライアントとチーム全体は、開発者がセキュアコーディングを完全に習得し、高いサイバーセキュリティ意識を持つ必要があると考えました。セキュリティ意識向上マネージャーは、チームが最初から前向きにセキュリティに取り組めるよう、意欲を高める工夫を凝らしました。

課題

クライアントのセキュリティ意識向上マネージャーは、セキュリティ業界で長年の経験を持ち、大小さまざまな企業におけるオンラインアプリケーション導入の爆発的な成長と、デジタル重視のチームの急速な増加を間近で見てきました。彼は、こうした急激な拡大に伴って専門知識が孤立化（サイロ化）する問題を目の当たりにしてきました。これは多くのセキュリティチームや開発チームにとって共通の課題です。「オンライン導入の初期段階では、開発者はセキュリティを考慮し、ソフトウェア構築に適用していました。しかし、サイロ化が進む環境では、例えばあるチームがOSを開発し、それをセキュリティチームが分析に回すと、修正すべき箇所が赤字で大量に指摘されて戻ってくるという状況が繰り返されます。最終的には修正されますが、その知見はブラックホールに消えてしまい、同じ問題が何度も繰り返されるのです」と彼は語ります。

彼は、自身の役割の中で頻繁に直面するセキュリティ課題について、「人」にまつわる問題に言及しました。

ソフトウェアエンジニアは機能開発に対して報酬を得ており、セキュリティはアジャイル開発の大きな妨げと見なされることがあります。彼らは自身の優先事項で忙しく、セキュリティは「誰か他の人の仕事」だと考えがちです。極端な例では、「まだ何も起きていない。なぜこれほどセキュリティを心配し、開発ライフサイクルを中断させる必要があるのか？」と考える人もいます。デジタル化が進む世界において、この姿勢は変えなければなりません。セキュリティを厄介なものと見なすのではなく、ソフトウェアセキュリティに対する責任を共有することの重要性を浸透させる必要があります。

デジタルライフを支える開発への依存度が高まる中、彼は将来の危機を予見していました。社会全体がハッカーの標的となっており、防御側にとってますます不利な状況にあるという現実です。開発者はセキュリティを真剣に受け止め、強い関心を持ち、組織（そして真剣に取り組むあらゆるテクノロジー企業）の第一防衛線となる必要がありました。

そこで彼は、従来のトレーニングを根本から見直すことに着手しました。

導入

セキュリティ意識向上マネージャーは、ソフトウェア品質の新たな基準を打ち立てるというクライアント全体の哲学を推進しました。具体的には、ソフトウェアに組み込まれたセキュリティレベルこそが、その品質と製品の実現可能性を示す指標であるという考え方です。現状では、UI、速度、保守性などがソフトウェア評価の指標となる一方で、セキュリティは品質指標と密接に結びついていないことがほとんどです。

「セキュリティは、高品質なソフトウェアにとって譲れない要件でなければなりません」と彼は言います。「それは信頼性に直結します。信頼性は、特に急速に変革しデジタル化を進めるビジネスモデルを持つ企業にとって、極めて重要な懸念事項です。」

コミットされたコードの脆弱性を修正するコストは、最初からセキュアに記述した場合と比べて最大30倍にもなるため、開発チームに強固なセキュリティ文化を「定着」させることが重要な目標となりました。結局のところ、スキャンツールでは検出できない脆弱性も存在し、それに対抗する最も効率的な解決策は、セキュリティ意識の高い開発チームを育成することなのです。

セキュリティ意識向上マネージャーは、開発者がセキュリティへの関心を高めるために一般的に行われている他のトレーニング手法について、自身の経験を語りました。「理論中心の学習や、さらに悪いことに、形だけのコンプライアンス研修を繰り返すだけでは、実践的な学習や時間が不足しており、永続的な効果は期待できません。私は、より効果的なソリューションを適用することで、この状況を変えようと決意しました。」

高いエンゲージメントがもたらすメリット

精通したセキュリティ意識向上マネージャーとそのチームの助言のもと、クライアントは独自の認定プログラムを導入しました。その中核を担っているのがSecure Code Warriorプラットフォームです。

より効果的で魅力的な開発者トレーニングソリューションを模索した結果、彼らはゲーミフィケーションを早期に採用し、独自の体系的なフルスケールカリキュラムを通じてその可能性を最大限に引き出しました。

「高いエンゲージメントを維持できるトレーニングを文化として定着させ、受講者が継続的に学び続けられるようにすることが不可欠でした。このシステムは、知識やスキル、そしてセキュリティに対する価値観を意図的に構築するアプローチであり、最終的には日常業務で扱う実際のソースコードを用いた実践へとつながっています」と彼は語りました。

業界標準のセキュリティベストプラクティスと社内ガイドラインの両方を網羅した包括的なソリューションを導入したことで、クライアントは迅速にトレーニングを展開し、組織内のソフトウェアセキュリティに大きなプラスの影響をもたらしました。

結果

クライアントの認定プログラムは、社内の技術教育施設のような先進的な取り組みに最適な、常に進化し続けるトレーニング形式です。楽しくインタラクティブで、意欲をかき立てる工夫が凝らされたこの詳細なコースは、受講者が知識を確実に定着させ、セキュリティファーストの文化とマインドセットを真に育むためのサポートを提供します。ゲーミフィケーションによって学習のハードルは下がりましたが、プログラムの核心である「開発者がアプリケーション内の高リスクな脆弱性を特定し、阻止するために必要なスキルを習得する」という実用性は維持されています。

このトレーニングは必須ではなく、開発者自身のモチベーションを必要とするものだった点は重要です。インセンティブや報酬の提供がそれを後押ししたのは間違いありませんが、チーム全体への導入が進んだのは、プロセスに対するチームの支持と承認が広がった結果です。

重要な能力開発が継続されるだけでなく、このプログラムは開発チームとAppSecチームの間の溝を埋める役割も果たしています。両者が同じ認識を持ち、共通言語で語り合い、相互の関心を高めるきっかけとなっています。

単なるコンプライアンスチェックとは一線を画すこのプログラムは、貴重な人材のキャリアを継続的に支援するための基盤となっており、世界で最も成長著しい業界の一つであるサイバーセキュリティ分野において、測定可能なスキルアップを実現しています。このようなトレーニングプログラムこそが、ソフトウェアセキュリティを初期段階から向上させるためのベンチマークとなるでしょう。

ファストファクト

• 認定を修了した受講者から、インストラクターになりたいという声がかつてないほど寄せられています。こうした現場からの自発的な広がりは、口コミによる支持や利用の拡大、そして組織全体のセキュリティ意識向上において強力な要因となっています。
• クライアントは現在、組織内の2500名以上の開発者を対象にプログラムを展開しており、すでに90%以上がシステムを利用しています。
• 彼らはこのトレーニングを活用してスタッフのキャリア開発を支援し、絶えず変化するテクノロジー環境でスキルを発揮するために必要な知識を身につけさせています。