コルゲート・パルモリーブはいかにして開発者のセキュリティスキルを向上させ、セキュアコーディングの文化を醸成したのか

要約

コルゲート・パルモリーブについて

コルゲート・パルモリーブ社は、世界中の家庭で愛され、広く知られている消費財ブランドです。創業から2世紀以上が経過した現在も、デジタル技術を活用して人々とペット、そして地球のより健康的な未来を再定義する、革新的な成長企業であり続けています。

状況

他の多くの企業と同様、コルゲート・パルモリーブも顧客へのサービス向上を目指してデジタルトランスフォーメーションを推進しており、これがアプリケーションセキュリティへの取り組み方の転換につながりました。

コルゲート・パルモリーブのCISOであるアレックス・シュックマン氏は、次のように述べています。

「顧客データを保護し、それによって信頼を築くことは私たちにとって非常に重要です。それは単に製品に対する信頼だけでなく、顧客が私たちと行うデジタル上のやり取りに対する信頼でもあります」

しかし、アレックス氏にとっての課題は、顧客データ漏洩の根本原因である「コードそのもの」をいかに保護するかでした。

「アプリケーションの構築側に携わった経験は、CISOに就任した際に非常に役立ちました。AppSec（アプリケーションセキュリティ）からチケットが戻ってくる苦労や、修正作業のために納期に遅れるフラストレーションを理解しているからです。その結果、CISOとしての私の目標は、ソフトウェア開発ライフサイクルにおけるセキュリティの強化だけでなく、その実装プロセスの効率化にも置かれています」

アクション

コルゲート・パルモリーブはこの課題に対し、セキュリティトレーニングを小さく分割し、短時間で学べる形式にすることで対応しました。これにより、従来の長大で画一的なコンプライアンス研修とは異なり、開発者がワークフローに組み込みやすいものとなりました。Secure Code Warriorのアジャイルでコンテキストに応じたセキュアコーディング学習アプローチを活用することで、開発者は実際のプロジェクトの文脈で脆弱性を理解できるようになり、エンゲージメントの向上とセキュアコーディングスキルの長期的な定着につながりました。

「開発者の意欲を維持しながら、ベストプラクティスを浸透させたいと考えました」とアレックス氏は言います。「プログラムの重要な部分は依然として義務化していますが、トレーニングを管理しやすいものにし、開発者のフィードバックに耳を傾けたことが、プログラムの成功につながりました」

コルゲート・パルモリーブは、GitHubリポジトリを制御するOktaワークフローを導入しました。下の図に示すように、特定のSCW評価に合格した開発者のみがプルリクエストを行える仕組みです。

結果

アレックス氏によれば、「成功を最適化するには、最初から開発者を巻き込む必要があると理解していました。そのため、プログラムの成功には開発者が不可欠であることを確実に伝えました。その結果、セキュリティチームと開発者の関係が大幅に改善し、チーム一丸となってプログラムに取り組んでいるという実感が生まれました。私たちはすでに得られた成果を基盤として、セキュリティ成熟度プログラムの拡大と拡張を続けています」

重要なポイント

1. プログラムの目標を明確に定義し、開発者の意見と関与を重視しましょう。日常的に使用する開発ツールに統合され、ワークフローに組み込まれたセキュアコーディング学習プログラムであれば、開発者はより積極的に参加するようになります。
2. OktaのようなSSOツールを使用してコードリポジトリを制御することは、チームのモチベーション向上につながります。特定のSCWコースと評価で合格点に達した開発者のみが、プルリクエストを許可されます。
3. 時間をかけて、AppSecチームと開発チームの間に強固な協力関係を促進するセキュリティ文化を構築してください。

‍