Kamer van Koophandel：開発者主導のセキュリティを大規模に展開

主なポイント

Kamer van Koophandel（KVK）は、業界の模範となるような、開発者ファーストの先進的なセキュリティプログラムを構築しました。KVKはSecure Code Warriorとのパートナーシップを通じて、セキュアコーディングの実践を日常の開発ワークフローに組み込み、組織全体で受け入れられる体系的な認定プログラムを確立しました。そして、プロアクティブで開発者主導のセキュリティアプローチの有効性を証明する、測定可能なリスク低減を実現しています。主な成果は以下の通りです。

「私たちはすでに強固なセキュリティ基盤を持っていましたが、それをさらに一歩進め、すべての開発者にとってセキュリティを『当たり前のこと』にしたいと考えていました。だからこそ私たちはSecure Code Warriorと提携し、教育を戦略の要としました。これにより、チームが自信を持って最初からセキュアなソフトウェアを構築できる体制を整えたのです。」

– Sebastiaan Rijnbout氏、開発サービス担当プロダクトオーナー

‍課題

開発者ファーストのセキュリティマインドセットの醸成

オランダ商工会議所であるKVKは、オランダ全土の起業家を支援する極めて重要な役割を担っています。企業、法人、経済活動を行う組織の登録を管轄する公的機関として、KVKは透明性を促進し、ビジネスエコシステムの健全性を強化しています。KVKは登録業務にとどまらず、法規制に関するガイダンスから資金調達、最新の動向、サイバーセキュリティに至るまで、起業家にとって有益な情報やアドバイスを提供しています。信頼できるデータを提供し、国や地域の経済関係者と連携することで、KVKは起業家が成長できる安全で情報豊かな環境づくりに貢献しています。アプリケーションセキュリティをさらに強化する取り組みを開始した当時、KVKにはペネトレーションテストを含む基本的なセキュリティ対策がすでに導入されていました。これらの対策は貴重な知見をもたらしましたが、KVKは開発ライフサイクルのより早い段階でセキュリティを拡張し、開発者がリスク低減の主体となれるような機会を模索していました。

2022年、KVKはSecure Code Warriorを採用し、開発者に焦点を当てた初のセキュアコーディング研修を開始しました。開発者を巻き込むための草の根的な取り組みとして始まったこの活動は、リーダーシップ層やCISOオフィスの支援を受けた組織横断的なプログラムへと急速に発展し、セキュアな開発を単なる理想から組織の標準へと変革しました。

解決策

単なるプログラムではなく、文化を築く

CISOの支援のもと、KVKのセキュアソフトウェア開発ライフサイクルチームはSecure Code Warriorと提携し、組織全体の戦略を策定しました。そして、以下の要素を含む、役割に応じた必須の認定プログラムを構築しました。

KVKはSecure Code Warriorのプラットフォームの柔軟性を活用し、組織独自のニーズに合わせた認定プログラムを作成しました。研修プログラムを特定の役割にマッピングすることで、新入社員はOWASP Top 10の意識向上トレーニングから始め、シニアエンジニアは実際のワークフローに基づいた高度なシナリオ演習に取り組みます。チャンピオンレベルの開発者は同僚を指導し、知識の共有を促進することで、チーム全体にセキュリティの専門知識を浸透させる役割を担っています。KVKのプログラムには、スキルを最新の状態に保つための年次再認定が含まれており、AI主導の脆弱性や新たな脅威に対応しながら、組織全体で適用範囲を拡大し続けています。

「認定制度を開発プロセスに組み込んだことは転換点となりました」とSebastiaan氏は語ります。「これにより、すべての開発者が、セキュリティは共通の優先事項であり、ソフトウェア構築における自然な一部であると認識するようになりました。Secure Code Warriorのおかげで、学習は一度きりのイベントではなく、継続的かつ文脈に沿った形で、日々の開発文化にシームレスに溶け込んでいます。」

その結果、トレーニングは関連性が高く、達成可能であり、開発者の日々の業務に直結するものとなりました。2024年初頭までに、KVKの開発者の90%がFoundationレベルの認定を取得しました。これは、戦略の正しさと、開発者主導のセキュリティへの文化的なシフトの両方を証明するマイルストーンとなりました。

成果

確かなインパクト、測定可能な進歩

Secure Code Warriorを活用したKVKのセキュア開発への投資は、大きな成果をもたらしました。

KVKは、組織のセキュアコーディングへの取り組みを主要なセキュリティ指標に基づいて測定するベンチマーク「SCW Trust Score®」を活用しています。6ヶ月間でKVKのTrust Scoreは大幅に向上し、世界の上位12%にランクインしました。

「SCW Trust Scoreのおかげで、どこにリスクが潜んでいるのか、どこに重点を置いてトレーニングを行うべきかが、データに基づいて明確に可視化されました」とセバスチャン氏は語ります。「これは単なるベンチマークではなく、進捗を証明し、セキュア開発がもたらす真のビジネス価値を示すためのロードマップです」

KVKはSecure Code Warriorとのパートナーシップを通じて、開発者主導のセキュリティにおける新たな基準を打ち立てました。強力なリーダーシップ、明確な戦略、そして測定可能な成果を統合することで、セキュア開発をコンプライアンス要件を満たすだけでなく、業界の模範となる中核的なビジネス能力へと変革しました。SCWのレポートはISO 27001/27002認証基準に準拠しており、KVKは監査時にプログラムの有効性を証明し、セキュア開発が単なる推奨事項ではなく必須事項であることを示せています。

KVKは、エンジニアリング部門以外にもQAテスター、DevOps、ローコード開発者へと認定プログラムを拡大し、組織全体でセキュリティを共有する責任であることを強化する計画です。また、GitHub Copilotなどのツールを活用する開発者が安全にコーディングできるよう、SCWのAI/LLM向けコンテンツの導入を予定しており、Trust Agentの展開最適化に向けてSCWプロフェッショナルサービスと連携しています。これらの取り組みは、セキュアコーディングが開発者だけでなく組織全体で共有される責任となったときに何が可能になるかを示しています。

「Secure Code Warriorとのパートナーシップは円滑かつ生産的です」とセバスチャン氏は述べました。「彼らの支援によりトレーニングプログラムを導入・改善できたことで、リスクの低減とセキュア開発文化の強化を確実に実現できています」

Secure Code Warriorと共に、KVKはセキュア開発のための強固な基盤を築き上げました。彼らの挑戦はまだ始まったばかりです。