AI時代におけるセキュアなソフトウェア開発のあり方を定義する

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

今週、Secure Code Warriorは設立8周年を迎えました。この8年という月日は、アポロ11号のミッション期間の350倍、サッカーの試合なら45,000回分、あるいは『スーパーマリオ オデッセイ』を5,696回クリアする時間に相当します。一方で、ゾウガメの寿命（ちなみに250年です）のわずか30分の1に過ぎません。急成長を遂げるスタートアップの世界において、この8年は多くの紆余曲折や学び、そして達成の連続でした。その多くは、創業時に事業計画書を書き始めた頃には想像もできなかったことです。

Secure Code Warriorでは、日々変化する現代のセキュリティ課題に立ち向かうため、開発者と組織に必要なスキルを習得できるよう絶えず革新を続けています。本稿では、ソフトウェア開発サイクルの初期段階から開発者主導のセキュリティを実現し、組織のソフトウェアを保護するために、今年公開されたプラットフォームの主要機能やアップデート、および各種リソースとガイドラインをまとめました。

テクノロジースタックや追加のトレーニングプログラムへの投資において、誰もが優れた投資収益率（ROI）を求めています。しかし、セキュリティに関しては、単純なROIの計算を超えた長期的な視点が必要です。開発者主導のセキュリティへの投資が、高額な侵害コスト、生産性の低下、蓄積された技術的負債を削減するだけでなく、今日の脅威環境を先取りするための先見的かつ費用対効果の高い戦略をどのように構築するかを学びましょう。

SolarWinds事件のような大規模なセキュリティ侵害を受け、開発者主導のセキュリティ対策を強化する動きが加速しています。この事件では、人気の管理ソフトウェア「Orion」のアップデートプロセスが悪用され、大手企業や政府機関を含む1万8,000以上のユーザーが感染しました。あらゆる規模の組織が「ソフトウェアサプライチェーン」を問い直し、ソフトウェアを開発するエンジニアに検証済みのセキュリティスキルと意識を求めるようになっています。

堅牢な技術スタックの重要性は誰もが認めるところです。コード内の脆弱性を発見・修正する際、修復までの平均時間（MTTR）を短縮し、信頼性の高い堅牢なソリューションを活用することが、Secure Code Warriorの統合機能が目指すゴールです。開発者のワークフローにマイクロラーニングの要素を組み込むことが、より良い学習と迅速な修復を実現する鍵となります。

今日、ほぼすべての開発チームが何らかのコンプライアンス研修を取り入れています。これは、企業が業界のフレームワークや政府の規制を遵守していることを保証するための初期認定プロセスの一環であったり、年次要件やレビューの一環であったりします。組織が基本的なコンプライアンス要件を満たせなければ、従業員は現実的に業務を遂行することができないため、これは重要なステップです。

開発者が脆弱性を削減し、良い影響をもたらすためには、脆弱性の仕組み、危険性、発生原因となるパターン、そしてそれらを修正するための設計やコーディングのパターンを、彼らの実務に即した文脈で根本から理解する必要があります。段階的なアプローチを取り入れることで、知識を積み重ね、セキュアなコーディング、コードベースの保護、そしてセキュリティ意識の高い開発者として自立するために必要な全体像を把握できるようになります。

2022年版Gartner Cool Vendors in Software Engineeringにおいて、開発者のセキュリティスキルの重要性が強調されています。詳細およびレポート全文はこちらからご覧ください。

デジタルビジネスを推進するソフトウェア、アプリケーション、プログラムを生み出す開発者は、今や多くの組織にとって生命線となっています。現代のビジネスのほとんどは、競争力のあるアプリケーションやプログラムなしでは、また、Webサイトやその他のインフラへの24時間体制のアクセスなしでは、（収益を上げながら）機能することはできないでしょう。