セキュリティチャンピオンへの道：Workdayがいかにアジャイル学習を活用して開発者のスキルアップを実現したか
状況
Secure Code Warriorによるアジャイル学習を導入する前、WorkdayではOWASP Top 10の脆弱性と擬似コードの例を扱ったPowerPointプレゼンテーションの録画による社内研修を行っていました。セキュリティ開発者トレーニングのプログラムマネージャーであるAlex Uda氏は、これがチームやセキュリティ部門全体が掲げる「Workdayの全体的なセキュリティ体制を向上させる」という目標の達成に寄与していないことに気づきました。開発者のトレーニングに対する意欲が急速に低下していたため、フィードバックを募ったところ、以下の2点が繰り返し挙げられました。
- より実践的なトレーニングの必要性
- より言語に特化したコンテンツの必要性
取り組み
開発者と協力する中で、Alex氏とそのチームは、魅力的で成功するセキュアコーディング学習プログラムを構築し、開発者の賛同を得るための2つの主要な優先事項を特定しました。
明確さとシンプルさ
多くの開発者は、入社時にセキュリティの知識を十分に持っているわけではありません。フラストレーションを感じたり、時間がかかったりするものは、開発者が回避策やハックに走る原因となります。WorkdayがSCWについて注目したのは、開発者がプロセスを明確に理解し、主体的に取り組んでワークフローに統合できる点でした。
実行可能性と価値
開発者は何よりもまず、コードベースやライフサイクルに影響を与える問題に対して、迅速に対処できることを望んでいます。そのためには、その方法を学ぶ必要があります。開発者にセキュリティのようなトピックに関心を持ってもらうには、その価値を強調することが重要です。
プログラムの構築にあたり、Alex氏のチームはまずセキュリティチャンピオンのパイロットグループからプラットフォームに関するフィードバックを収集し、カスタマーサクセスマネージャーと協力して改善案を実装しました。次に、SASTツールやインシデント数、セキュリティイベントの指標を確認し、現在の環境における最大のリスクと業界全体の動向を評価しました。当初はOWASP Top 10と、Workdayで最も一般的かつリスクの高い脆弱性に焦点を当てました。
「開発者に学習の機会と主体性を与えることで、SCWはソフトウェアセキュリティを積極的に改善することを可能にしてくれました。これは単にコードを書くことだけでなく、成長の機会やキャリアの機会にもつながります。Workdayがセキュリティプログラムを支援しているのは、会社全体がこの分野で足並みを揃えているからであり、開発者は学習と開発のための時間を確保できています。週に2時間、継続的に学習を行うことで、筋肉記憶のように着実にスキルが定着していきます」
結果
従来、セキュリティは開発プロセスの最終段階で考えるものとされがちでした。現在、Workdayの開発者はセキュリティチームと連携し、セキュリティを開発サイクルにおける重要な構成要素と捉えています。SDLCのより早い段階でセキュリティ項目に迅速に対処できるようになったことが、このプログラムの最大の成果です。ダブリンのチームでは、1日平均31.08件、合計4662件あったセキュリティ課題が、約18ヶ月でゼロになりました。
Alex氏はプログラムの成長を次のように表現しました。「意識の高いセキュリティチャンピオンから始めたことで、雪だるま式に広がっていきました。プログラムとその利点をリーダー層に周知し、参加者を増やしていく中で、口コミによって自然と成長していきました。トレーニングの観点から、私たちの目標は開発者がセキュアなコードを書くために必要なスキルを提供することです。これはWorkdayが成長を続ける中で特に重要です」
重要なポイント
Alex氏によると、「セキュリティを成功裏にスケールさせるには、開発者が設計段階からセキュリティリスクを特定できる『セキュリティマインドセット』を持つことが不可欠です。これは、開発者を支援し、時間やコスト、そしてトラブルを削減するための『シフトレフト』の取り組みに合致しています。セキュアコーディングの学習を充実させるほど、スキャンやペネトレーションテストの結果で見つかる脆弱性は減少します」
開発者にとって、セキュリティ学習を楽しむことは重要です。
SCWは、それがどれほどエキサイティングなものになり得るかを示すことに長けています。セキュリティ学習に取り組むなら、ぜひ全面的に受け入れてみてください。それを開発プロセスの一部、そしてキャリア成長の一部と捉えるのです。
セキュリティに興味がある場合は、チームに気軽に相談するよう開発者に促しましょう。
対話を重ね、コラボレーションを始めましょう。
セキュリティをブラックボックスとして扱うことや、プロジェクトに後付けすることは時代遅れであり、最終的にはソフトウェアにとってマイナスとなります。
TDD、アジャイル、リンティングを取り入れるのと同じように、セキュリティを開発プロセスの一部として受け入れることで、フローが改善され、顧客に提供されるソフトウェアの品質が向上します。
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のリソースを見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
DigitalOcean Decreases Security Debt with Secure Code Warrior
DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
