AI時代におけるセキュアなソフトウェア開発のあり方を定義する

米国連邦政府による最新の大統領令は、機能的なサイバーセキュリティの多岐にわたる側面に触れていますが、今回初めて、開発者が与える影響と、開発者が検証済みのセキュリティスキルと意識を持つ必要性について具体的に言及されました。

現在、セキュアなコーディングの実践は全員の責任であると考える開発者はわずか15%に留まっています。セキュリティの脅威が増大する現代において、これでは到底十分とは言えません。何らかの対策が必要です。健全なアプリケーションセキュリティ文化を築く鍵は 、その背景にある主要な影響要因（そしてインフルエンサー！）を理解することにあります。

サイバーセキュリティのベストプラクティスにおいては、人間主導のアプローチを強化する必要があります。自動化やツールへの過度な依存、あるいは問題が顕在化してから対処するような後手に回る対応よりも、人間を中心としたアプローチの方が、はるかに優れた成果をもたらすはずです。

脆弱なコードは企業に数百万ドルの損失をもたらします。では、セキュアコーディングの実践を阻むものは何なのでしょうか。あらゆるものがソフトウェアに依存する現代において、コードの安全性を確保することは不可欠です。企業のブランド価値や財務の健全性は、それにかかっていると言っても過言ではありません。しかし、セキュアコーディングには多くの懸念があり、その完全かつ効果的な導入を妨げる障壁も存在します。今こそ、これまでとは全く異なる新しい働き方が求められています。

ここ数年、市場投入のスピードを優先するあまり、ネットワークセキュリティ、テラバイト単位の機密性の高い顧客データ、そしてかけがえのないブランドの評判といった多くのものが犠牲にされてきました。

サイバーセキュリティ業界にとって、クリスマスを台無しにするような出来事があるとすれば、それは米国政府に影響を与える史上最大のサイバースパイ事件へと発展しつつある、壊滅的なデータ侵害でしょう。

開発者向けのセキュアコーディング研修において、教育効果が期待通りに上がっていないのが現状です。多くの企業が多額の投資をしながら、実務での成果はほとんど得られていません。それも無理はありません。

データ侵害とその被害額が増加の一途をたどる中、世界中で生成されるコードの量は、もはやセキュリティ専門家だけで対応できる規模を超えています。企業にはセキュアコーディングのスキルを持つ開発者が不可欠であり、開発者自身もキャリアアップのためにそのスキルが必要であることを理解しています。しかし、既存のセキュアコーディング研修は、彼らの期待に応えられていません。では、開発者が本当に求めているセキュアコーディング研修とはどのようなものでしょうか。

「退屈、退屈、また退屈！」セキュアコーディングのトレーニングについて話すと、開発者から決まって返ってくる言葉です。Secure Code Warriorは、もっと良い方法があるはずだと考えています。

AppSecツールが期待通りに活用されていないのにはいくつかの理由があります。それはツールやその機能の問題というよりも、セキュリティプログラム全体にツールがどのように統合されているかという点に起因しています。