セキュリティ文化の統一：Sageはいかにしてチャンピオンプログラムを構築したか

Sageは、給与計算、人事、財務向けのシンプルで使いやすいソフトウェアとサービスを提供する、英国の多国籍エンタープライズソフトウェア企業です。2017年時点で英国第2位のテクノロジー企業であり、エンタープライズリソースプランニング（ERP）ソフトウェアのサプライヤーとしては世界第3位、中小企業向けサプライヤーとしては世界最大規模を誇り、世界中で600万社以上の顧客を抱えています。

背景

Secure Code Warriorと連携する以前、Sageは約10年にわたりセキュリティチャンピオンネットワークの構築を進めてきました。セキュリティ意識の高い開発者による強固なネットワークがあったにもかかわらず、トレーニングは散発的で、リスク低減に焦点を当てた体系的なものではありませんでした。

Sageは、時間をかけて関係を構築し、柔軟なアプローチでセキュリティを浸透させることが重要であると認識していました。同社のプログラムは、その目標をリスク低減と、プログラムがもたらす具体的な成果に結びつけました。特定のビジネスユニットでプログラムを試験運用する際、リスク低減をどのように測定し、それをビジネス側にフィードバックして開発者や経営層の賛同を得るかに注力しました。

アクション

Sageでピープルセンタード・セキュリティ（人間中心のセキュリティ）をリードするマッズ・ハワード氏は、開発者と協力してセキュリティチャンピオンのペルソナを把握しました。各ビジネスユニットの開発者と面談を行い、彼らのモチベーション、好みの学習スタイル、業務上の制約などをヒアリングしました。ハワード氏とチームは、開発者やチームリーダーとの関係構築に努め、柔軟なアプローチの重要性を強調しました。

ハワード氏は関係構築のアプローチを重視しており、次のように述べています。

「私たちは、開発チームのリーダー、エンジニアリングチームのリーダー、そしてプロダクトマネージャーといった、スプリントサイクル中の学習時間を管理する人々と関係を築くことに多くの時間を費やしました。」

ハワード氏によれば、成功の鍵はセキュリティチャンピオンネットワークの拡大にもありました。

「セキュリティチャンピオンネットワークは、プログラムの重要な管理要素と見なされています。そのため、各製品がこのプログラムを通じて進歩していくためには、セキュリティチャンピオンという役割を真剣に受け止め、彼らに確かなセキュリティトレーニングを提供することが不可欠でした。」

Sageのグローバルセキュリティチームの目標は、複雑なテクノロジー環境における開発者の学習ニーズを考慮したセキュリティ管理プログラムを導入し、脆弱性管理を支援するために既存のセキュリティツールと連携できるパートナーを選ぶことでした。

教育を成熟したセキュリティ管理プログラムの重要な側面として位置づけることが重要でした。同社は、以下の指標を通じてリスク低減を測定することに注力しました。

• リスクスコアの改善
• 脆弱性の経過期間、脆弱性バックログの削減
• 解決までの時間
• クローズされた脆弱性とオープンな脆弱性の比率
• Sageが記述したコード行あたりの問題数（サードパーティ製コードを除く）

ハワード氏は次のように語ります。

「Sageというビジネスにとっての次のフェーズは、開発者のワークフローに組み込まれたセキュアコーディングプログラムによるスキルアップが、測定可能なリスク低減をもたらすことを証明することです。」

結果

ハワード氏は、Secure Code Warriorが彼女とチームに提供したパートナーシップとガイダンスの重要性を強調しました。

「正直なところ、Secure Code Warriorのサポートなしでは、ここまで到達することはできなかったでしょう。さまざまなテクノロジーを扱う開発チーム全体にわたり、これほど成熟したレベルのプログラムを構築することは不可能だったはずです。」

ハワード氏とチームがヒアリングを終え、開発者の賛同を得た後、彼女はより広範なセキュリティ文化プログラムの一環としてSecure Code Warriorの導入を開始しました。

ハワード氏によると、その結果は以下の通りです。

「現在、Sageでは200名以上のセキュリティチャンピオンがプログラムに登録しています。セキュリティチャンピオンが週に3.5時間（業務時間の10%）をスキルアップに充てれば、セキュアコーディングプログラムや継続的なトレーニングの重要性を提唱し、それがもたらす価値を社内に広めることができるのです」

経営層の賛同とリスク低減に向けた測定可能な目標を掲げることで、マッズ氏は単なるプラットフォームの利用者数やプレイ時間だけでなく、脆弱性の修正にかかる時間や脆弱性の経過期間を測定し、顧客向けに構築された新機能と比較することで、脆弱性低減に関する全体的な視点を得ることができました。あるチームでは、脆弱性の平均修正時間が82%短縮されるという非常に大きな成果が得られました。

しかし、ハワード氏がそれ以上に重要だと強調したのは、数値化できない要素、つまりチームのエンゲージメント、コミットメント、そしてプログラムに積極的に関わろうとする姿勢でした。

主なポイント

Sageの事例は、計画的かつ実行力のあるセキュリティトレーニングの妥当性と、柔軟で統合的なアプローチの重要性を浮き彫りにしています。これは、強固なセキュアコーディングプログラムを目指すあらゆる組織にとって学ぶべき教訓です。マッズ氏によれば、成功するセキュリティ管理プログラムを導入し、セキュリティを企業文化に定着させる鍵は、開発者と対立するのではなく、協力して取り組むことにあるといいます。

• セキュリティ文化の醸成は一朝一夕には成し遂げられません。時間をかけて関係を構築し、セキュリティを浸透させ、そのためにリソースを割くことが重要です。
• すべての取り組みをリスク低減に結びつけ、セキュアコーディングプログラムがもたらす具体的な影響に焦点を当ててください。
• そのリスク低減をどのように測定し、ビジネスに還元できるかを考え、開発者と経営層の双方からインパクトのある成功したプログラムだと認識されるようにしましょう。

セキュリティチャンピオンを目指す開発者に向けて、彼女とチームは次のようなアドバイスを送っています。

• セキュリティに関心を持つ人々のネットワークを築き、カンファレンスや講演に積極的に参加しましょう。興味のあるトピックを学ぶ時間を大切にしてください。
• 組織の文化は一晩では変わらず、成熟には時間がかかることを忘れないでください。

‍