「Game of Codes」が導く、IAGグループのより安全なコーディングの未来

IAGグループは、アジア太平洋地域をリードする数多くの保険会社を傘下に持ち、数百万人の顧客に対して年間約114億豪ドルの保険料規模で保険契約を引き受けています。IAGグループで企業セキュリティ教育・啓発マネージャーを務めるビアンカ・ワース氏は、開発チーム内における強固なセキュリティ意識と実践の必要性を深く理解し、チームが重要なセキュアコーディング技術を習得するための、真に革新的で最適な環境の構築に着手しました。

登場：「ゲーム・オブ・コーズ（Game of Codes）」

課題

開発者は常に複数の成果物やプロジェクトを抱え、時間に追われています。しかし、セキュリティのベストプラクティスを最新の状態に保つことは、数百万件もの機密性の高い顧客データをハッカーから守らなければならない組織にとって、極めて重要です。ビアンカ氏と彼女のチームは、サイバーセキュリティへの取り組みをより強固にするための明確な目標を定めました。彼らは、IAGが開発するアプリケーションの攻撃対象領域を最小限に抑えることを最優先事項とし、開発者が重要かつ高リスクな脆弱性を特定・修正できるよう教育することを目指しました。長時間のセキュアコーディング研修は確かに存在しますが、退屈で手間がかかるうえ、厳しい納期に追われる開発プロジェクトから主要なスタッフを引き離すことになり、ビジネス全体にプレッシャーを与えてしまいます。業務や運用への影響を最小限に抑えつつ、開発チームのスキルを迅速に向上させる必要性が明らかになりました。しかも、オーストラリアとニュージーランドにまたがる開発者は、必ずしも同じシステムを扱っているわけではなく、これは決して容易なことではありませんでした。

「今年、私はソースコードを変更し、SQLインジェクションの脆弱性を排除しました。その評価は『ゲーム・オブ・コーズ』のおかげだと思っています。セキュアコーディングを常に意識するだけでも役立ちます。このコンペティションは、人々にベストを尽くすよう促す良い方法です。正直なところ、セキュリティは誰もが楽しめるトピックではありませんから、参加を促すには良い手段です」IAG開発者 R氏

導入

ビアンカ氏は、チームおよびSecure Code Warriorと連携し、社内開発者のスキル向上を促進するためのトーナメントやトレーニングを導入し、ゲーミフィケーションを取り入れた学習体験の展開を戦略的に進めました。そのためには、しっかりとしたコミュニケーション戦略を立てると同時に、スタッフが全く新しいプラットフォームを採用し、その可能性を最大限に活用するにあたって、個々の異なるモチベーションや性格に対応することが不可欠でした。

「私たちは、スタッフや主要なステークホルダーに対して、知っておくべきポイントや重要なメッセージ、そして参加を促すためのインセンティブなどをどのように伝えるかというコミュニケーション計画を策定しました。ほとんどの人は、ゲーミフィケーションを取り入れた体験を心から楽しんでいます。それは個人の性格やモチベーション、何が彼らを突き動かすかによって異なります。だからこそ、私たちは人々の多様なモチベーションに応えられるよう努めています。賞品を好む人もいれば、達成感そのものが十分な要因になる人もいます」と彼女は語りました。

ビアンカ氏とIAGは、Secure Code Warriorのゲーミフィケーション学習プラットフォームを巧みに活用し、トーナメントを「ゲーム・オブ・コーズ」と名付けた楽しい競技体験へと変貌させました。スタッフは中世をテーマにしたチーム（ブランドロゴ入りのグッズ付き）に分けられ、HBO制作の同名ドラマに負けない戦いを繰り広げました。

このトーナメントは国際的な舞台にも広がり、オーストラリア対ニュージーランドの対抗戦も間もなく開催される予定です。これにより、IAGは両国における主要なセキュリティチャンピオンを発掘できるだけでなく、チームが共にスキルアップを図ることも可能になります。

結果

「ゲーム・オブ・コーズ」は、実質的に専門的なトレーニングプログラムです。インタラクティブで楽しいトーナメントとして展開されたことで、スタッフはさまざまな形で意欲的に参加し続けることができました。しかし、この取り組みの核心は、開発者がIAG開発アプリケーションにおける高リスクな脆弱性を特定し、阻止するために必要なスキルを習得するという実用性にありました。

開発者とセキュリティチームの両方がセキュリティファーストの考え方を持つようにし、脆弱性を特定するだけでなく、最初から修正できる体制を整えることで、IAGはコストのかかるペネトレーションテストの削減と、それを実施するチームの負担軽減を見込んでいます。

この重要な能力の開発が継続されることに加え、「ゲーム・オブ・コーズ」は人間関係の構築にも寄与しました。参加チーム間に仲間意識と健全な競争心が芽生えたほか、ポイント制のトーナメント環境で自分の能力が測定されることで、個々の開発者が自身のセキュアコーディング能力に自信を持てるようになりました。

ビアンカ氏によると、このプログラムに対する社内の支持は非常に大きく、経営陣からも好意的に受け入れられたとのことです。これがきっかけとなり、プログラムを推進し、組織内でセキュリティを牽引したいと考える個人が参加できるアンバサダープログラムも誕生しました。

「一部の開発者にとっては素晴らしい露出の機会となり、彼らのスキルをアピールする絶好の場となりました。彼らは自身の仕事においてもその恩恵を受けており、それを目の当たりにできるのは重要なことです」

「ゲーム・オブ・コーズ」は、単なる「ゲーム」や、部門マネージャーがコンプライアンス研修を消化するための楽しい手段にとどまりません。高い定着率とエンゲージメントを誇るソリューションとして、セキュリティの初心者を迅速にセキュリティチャンピオンへと変貌させ、大規模な侵害のリスクを最小限に抑えるために不可欠な役割を果たしています。

最後に、ビアンカからの究極のアドバイスです。

「どんなプログラムを導入するにしても、ただ提供するだけで使ってもらえると思ったら大間違いです。行動変容を促し、動機付けを行うためのプログラムを設計しなければなりません。私たちが構築したのは、セキュリティに焦点を当てた、開発者のためのチェンジマネジメントプログラムです」

「『Game of Codes』のトレーニングセッションを受けてから、セキュリティへの関心が高まり、自動テストを作成する際にもセキュリティを意識するようになりました。アジャイルチームのシニアテスターとして、このトレーニングはセキュリティテストをより深く学び、専門分野として追求するきっかけになりました」A氏、IAGシニアテスター

主な実績

• IAGはゲーミフィケーションを活用した学習に加え、開発者の採用におけるスキル評価ツールとしてもSecure Code Warriorを活用しています。
• 現在、開発チーム全体への導入を進めており、すでに55%がシステムを利用しています。
• また、リスクの最小化と長期的なコスト削減という観点から、プログラムの成功を測定するための独自の内部指標を策定しました。
  ‍