ゴールドを目指して：Paysafeで高まるセキュアコーディングの基準

Paysafeは、金融取引を信頼に基づいた体験へと変える支援を行っています。年間1,520億ドルを超える取引を処理する安全でシームレスなプラットフォームを提供するには、単なるコンプライアンス基準の遵守以上の取り組みが不可欠であることを同社は理解しています。過去4年間、PaysafeはSecure Code Warriorとのパートナーシップを通じて、開発者リスク管理への包括的なアプローチを推進してきました。同社のアプリケーションセキュリティプログラムは、以下を含むビジネスニーズ全体にプラスの影響をもたらしています。

‍
課題：Paysafe全体でセキュアコーディングの基準を向上させる

多国籍オンライン決済プロバイダーであるPaysafeは、セキュアコーディングを単なるPCI DSSコンプライアンス要件の充足を超えた戦略的優先事項と位置づけてきました。初期の取り組みでは専門家主導の対面トレーニングやスキル評価を実施していましたが、Paysafeの目標は、セキュアコーディングの取り組みの範囲と規模を継続的に拡大し、アプリケーションセキュリティに対する最高水準のアプローチを確立すること、そしてエンジニアが最初からセキュアなコードを書けるようにすることでした。

「私たちにとって、トレーニングを提供したという事実だけで満足することはありません。目標は、スタッフが常に最新の動向を把握し続けることです。私たちは常に改善と向上を目指しています。エンジニアリングチームとセキュリティチームが協力し合うことを望んでいます。自らスキルを高められるチームは、より深い知識を持ち、より優れたコードを設計できるのです」と、Paysafeのピープル・デベロップメント・パートナーであるボヤン・フリストフ氏は述べています。

Paysafeのビジョンは、セキュリティを開発プロセスの早期段階に組み込む「シフトレフト」を実現し、ソフトウェア開発ライフサイクルのあらゆる段階でセキュアコーディングの実践を定着させる、セキュリティ意識の高いエンジニアを育成することでした。これを支えるために、PCIコンプライアンスのための監査証跡を提供するだけでなく、深く永続的な文化変革を促進する、スケーラブルで魅力的かつ継続的なプログラムが必要でした。その一環として、ゲーミフィケーションを取り入れた学習体験、定期的なトーナメント、常時利用可能なトレーニングを導入し、開発者の意欲を高め、業界のセキュリティトレンドの最前線に留まるよう促しました。

ソリューション：Secure Code Warriorによる最先端のアプローチ

Paysafeは、セキュアコーディングの実践を拡大し、エンジニアの関与を促し、開発ライフサイクルの早期段階にセキュリティを組み込むために、Secure Code Warriorの開発者リスク管理プラットフォームを採用しました。同社のセキュリティチャンピオンプログラムは時とともに成長し、Secure Code Warriorはサイバーリスク防止の目標達成において重要な役割を果たしています。

Paysafeは、開発者がプラットフォームに自然に関与できるよう、魅力的な賞品を用意したトーナメントなどのゲーミフィケーション活動を推奨しました。プログラムの導入当初は、PCIコンプライアンス要件を満たすために一部の評価を必須とし、その他のコンテンツや活動はオプションとして提供しました。

As the program gained traction, leadership provided additional support, further aligning the goals of development and infosec teams. This allowed the Paysafe team to take the program to the next level and introduce more formal certification programs with designated KPI and success incentives. 

プログラムの次のフェーズでは、業界標準であるOWASP Top 10のトピックに焦点を当て、認定ステージを設けることで、開発者が段階的にスキルアップできるようにしました。現在、このプログラムは新たな規模と成熟度に達しており、正社員から契約社員に至るまで、組織全体で開発者のベースライン基準を底上げしています。

‍「私たちは、過去4年間にわたってSCWと築いてきたパートナーシップを非常に高く評価しています。共に取り組むことで、ターゲットを絞ったアプリケーションセキュリティトレーニングを提供し、セキュリティチームとエンジニアリングチームの間の関係を強化することができました。これは、SDLCの可能な限り早い段階で、最初からセキュアなコードを開発するという共通のコミットメントに基づいています」と、Paysafeの最高情報セキュリティ責任者（CISO）であるアラン・オズボーン氏は述べています。

CISO、CTO、およびエンジニアリング部門の経営陣による継続的なサポートと連携のもと、PaysafeはSecure Code Warriorと協力してプログラムを絶えず進化させています。今日、このプログラムはビジネスニーズと密接に連携し、具体的な成果をもたらし、社内チームにとって有益で魅力的なものとなっています。

結果：組織全体におけるセキュアコードの新たな基準

Paysafeのアプリケーションセキュリティへの取り組みは、4年前の開始以来、着実に改善されています。Secure Code Warriorとのパートナーシップを通じて、Paysafeは開発者リスク管理への包括的なアプローチが組織全体にどれほど大きな影響を与えるかを実証しました。

PaysafeがSAST（静的アプリケーションセキュリティテスト）のスキャンデータを分析したところ、Secure Code Warriorでトレーニングを受けたチームが開発したアプリケーションでは、開発初期段階のスキャンで検出される脆弱性が顕著に減少していることが明らかになりました。SCWプラットフォームをより積極的に活用しているチームほど、初回スキャンで見つかる脆弱性の数がさらに減少しました。

Secure Code Warriorでの活動と関与が最も高かったチームでは、開発初期段階で見つかる脆弱性が前年比で大幅に減少しました。これは、スキルベースの継続的なトレーニングがセキュアコーディングの習慣を定着させる上でいかに有効であるかを浮き彫りにしています。最初からセキュアなコードを作成することで、チームはSDLC全体を通じて大幅な時間を節約できました。開発初期段階で脆弱性を防ぐことで、脆弱性の特定、記録、修正の手間が省け、数千時間もの開発時間が削減されました。その結果、開発者の生産性が45%向上し、セキュアコーディングのスキルアップが日々の開発プロセスを改善し、エンジニアリングチームとAppSecチームの双方にとって大きな利益をもたらすことが証明されました。

Paysafeはセキュアなコードへの献身的な取り組みにより、Banking & Financial ServicesベンチマークにおいてSCW Trust Score^® で4位にランクインしました。これは同社にとって誇るべき成果ですが、セキュアなコードへの取り組みはここで終わりではありません。Secure Code Warriorとのパートナーシップを通じて得られた成果を糧に、Paysafeはプログラムをさらに高みへと引き上げようとしています。

「Secure Code Warriorのおかげで、開発者の生産性が向上し、製品や改善の市場投入が加速しました。また、長期的なコストとリスクの大幅な削減も実現しています」と、Paysafeの最高情報セキュリティ責任者（CISO）であるAlan Osborne氏は語ります。「私たちは、開発者トレーニングの強化によって推進されるセキュアコーディングが、単なる『あれば望ましいもの』ではなく、開発者のスキル、経験、能力を強化しながら確実なROIをもたらす実証済みの投資であることを証明しました。」

今後、Paysafeはプロセスにさらなるガバナンスとリスク管理の対策を組み込むことで、セキュリティ基準の運用を強化することを目指します。SCW Trust Agentを活用してSecure Code Warriorとの長年にわたるパートナーシップを深め、サイバーセキュリティの卓越性に対するコミットメントを実証していきます。