Thalesが実践した開発者主導のセキュリティ

背景

Thalesグループは、航空宇宙、防衛、輸送、セキュリティ分野向けの電気システムやデバイス、機器の設計・開発・製造を行うフランスの多国籍企業です。Viswanath S. Chirravuri（以下、Vis）氏は、Thalesのソフトウェアセキュリティテクニカルディレクターを務めています。プログラマーとしてセキュリティのキャリアをスタートさせたVis氏は、現在Thalesのシニアセキュリティリーダーとして、セキュリティ業界で18年以上の経験を持ち、CISSP、PMP、GSEなど30以上の資格を保有しています。これまでに18カ国以上で3,000人を超えるソフトウェア専門家を教育してきました。さらに、国際的なサイバーセキュリティトーナメント（Netwarsなど）で10個以上のSANSチャレンジコインを獲得しており、GIAC諮問委員会の現役メンバーでもあります。私たちはVis氏に、Thalesで成功を収めているセキュアコーディング学習プログラムを構築するために、どのように人、プロセス、テクノロジーを連携させたのかについて話を伺いました。

状況

Thalesに入社した当初、Vis氏は技術的負債のバックログを削減するための解決策として、ペネトレーションテストで発見された脆弱性の根本原因に目を向けるよう各事業部門に指導していました。アプリケーションセキュリティチームは、IAST/DASTツールからペネトレーションテストツールに至るまで、セキュリティ体制を強化するために7つの異なるベンダーと協力していました。Vis氏は、プロセスとテクノロジーの強力な統合を通じて緩和戦略を策定し、市場のトレンドを把握しながらスケーラブルな方法で脅威を管理したいと考えていました。そのためには、ツールベースのアプローチから、強力な学習要素を備えた戦略へとシフトする必要がありました。彼は、多くの開発者がセキュリティの背景やスキルを持っていないことに気づきました。当初はOWASP Top 10などのトピックについて開発者向けの対面トレーニングを提供していましたが、世界中にいる数千人の開発者に教えるために必要な移動コストを考えると、この方法ではスケールしないとすぐに悟りました。Vis氏は次のように述べています。

「セキュリティ担当者と開発者の比率には、常に不均衡が生じます。たとえ1対1の比率であっても、常に彼らを関与させ続けることはできません。新しい攻撃ベクトル、ベストプラクティス、新しい言語、新たに発見された脆弱性について開発者の知識を最新の状態に保つには、開発者自身が自分のペースで学習を促進できる環境が必要です。助けが必要なときは私がサポートできますが、見つかったすべての脆弱性の修正方法を私が教え続けることは不可能だと気づきました。」

当初、開発マネージャーからは、開発者がセキュアコーディング学習に費やす時間について反発がありました。多くの開発者がゼロからのスタートであることを認識していたからです。Vis氏は、セキュアコーディング学習への取り組みがソフトウェアのリリースサイクルを妨げたり、ミッションクリティカルなスプリントを遅らせたりするのではないかという懸念を払拭する必要がありました。彼は、アジャイルなセキュアコーディング学習に時間を割くよう組織を動機付ける方法を見つける必要がありました。Vis氏は、脆弱性に根本から対処するために「人」を第一に考える姿勢を取りました。「セキュリティは開発の時間を奪うものだとよく言われます。しかし私にとって、開発したものがセキュアでなければ、それは最初から時間の無駄です。ソフトウェアは常にセキュアに開発すべきであり、そうすれば簡単に回避できたはずの脆弱性を修正する時間を節約できます。私たちは皆、信頼性の高いコードを出荷するという共通の目標を持つべきです。」

アクション

Vis氏には、ソフトウェアの保護とThalesの開発チームにおけるセキュリティ意識の向上という2つの主要な目標がありました。開発者が自立し、自分のペースでトレーニングできるプログラムを導入することが不可欠でした。Vis氏の戦略は、時間をかけてセキュリティコミュニティを構築し、セキュアコーディングを企業ポリシーと結びつけ、組織内でセキュアコーディング学習を義務付けることでした。開発者、テスター、アーキテクト、エンジニアをつなぐコミュニティ文化を奨励することで、彼はモチベーションの相乗効果を目の当たりにしました。日々の業務の一環としてセキュリティに情熱を注ぐセキュリティチャンピオンが生まれ、組織全体にセキュアコーディングの実践を広める助けとなりました。Vis氏は12社以上のセキュリティトレーニングベンダーを評価し、2019年にSCWの顧客となりました。Thalesにとって、断片的なソリューションではなく、環境内のすべてのプログラミング言語とフレームワークをカバーするベンダーを持つことは大きなメリットでした。Vis氏は、Secure Code Warriorの膨大なコンテンツを活用して、セキュリティプログラム内の開発者がアクセスできるトレーニングと自己学習プログラムを構築しました。

「OWASP Top 10は、単に知っておくべき10個の項目というだけではありません。OWASPがカバーする脆弱性の深さと多様性は、プログラミング言語の膨大な数と相まって、圧倒されることがあります。私たちがSCWを選んだ決定的な要因は、これらの課題に対する幅広い対応範囲でした。彼らは常に新しいコンテンツを追加しています。その深さ、トピックの多様性、最新のコンテンツ、そしてセキュアなコード設計原則への焦点が、SCWを際立たせています。彼らのおかげで、一度限りのトレーニングではなく、継続的なプログラムを構築する機会を得ることができました。」

Vis氏と彼のチームは、各エンジニアリングロールのマイルストーンを設けた、4段階のセキュアコーディング学習プログラムの展開を構築しました。

重要な点として、SCWは脆弱性修正の「信頼できる情報源（ソース・オブ・トゥルース）」となりました。トラブルシューティングのためにGoogle検索に頼るのではなく、Vis氏はAppSecチームのガイドラインとSCWのコンテンツライブラリの両方を公開し、開発者がコード内の脆弱性修正について信頼できる確かな情報源を参照できるようにしました。Vis氏は次のように述べています。

「開発者が脆弱性の修正方法を自由に決めて、その過程で新たな脆弱性を持ち込むようなことがあってはなりません。私たちはSCWのSCORM統合を通じてSCWの動画をLMSに組み込み、開発者が正しい方法で脆弱性を修正する方法を学べるようにしました。これにより、セキュアなソフトウェアを提供する開発者を評価する仕組みも整いました。私たちは彼らに一定レベルのセキュアコーディングを達成するよう求めており、彼らが解決し、再発させていない脆弱性を追跡することで、その達成度を確認できます。そうすることで、彼らの懸命な努力が会社で認められ、評価されるようになります。」

結果

Vis氏と彼のチームは、社内のトップ学習者を表彰する月刊セキュアコードニュースレターを発行しています。彼らはSCWを使用して、評価スコア、トーナメントへの参加状況、プレイしたチャレンジを確認し、その成果を称えています。これが他の開発者の学習意欲を刺激しています。彼が当初設定したKPIは、2年間で脆弱性の総数を削減することに焦点を当てていました。SCWを導入した後、脆弱性の数は減少傾向にあると彼は指摘しています。これらの脆弱性は、ソースコードレベルで再発していません。Vis氏は次のように述べています。

「私たちが経営陣に提示するKPIは、私たちが下した賢明な選択を反映しています。私たちは、顧客にビジネス上の信頼をもたらすセキュアコーディングトレーニングを提供していることを誇りに思っています。私たちは包括的なセキュアコーディングトレーニングプログラムとして認められており、顧客や同業者から尊敬されています。このようなプログラムを持つことは、会社にとって非常に大きな価値をもたらします。」

重要なポイント

Visは、あらゆるセキュリティイニシアチブにおいて、人、プロセス、テクノロジーのすべてが重要な役割を果たすことを認識しています。ソフトウェアのセキュリティ、開発者の知識、コンプライアンスへの準拠に重点を置くことで、ソースコードの脆弱性を長期的に低減させる、アジャイルで学習可能なセキュアコードプログラムを構築することが可能です。Visは、開発チームのセキュリティスキル向上を目指す専門家に向けて、これらの推奨事項を提示しています。