Secure Code Warrior：セキュアDevOpsの世界的拡大が新たな調査で明らかに

Secure Code Warriorのレポートにより、開発者が責任を負うようになるにつれ、アプリケーションセキュリティが「事後対応」から「予防」へと移行していることが判明

‍

ボストン、シドニー、ロンドン、ブルージュ、ポートランド、2021年3月24日— グローバルなセキュアコーディング企業であるSecure Code Warrior®による新たな調査で、ソフトウェア開発業界における意識の変化が明らかになりました。組織は従来の慣行を脱却し、DevOpsやセキュアDevOpsへと舵を切っています。

‍

プロの開発者とそのマネージャーを対象としたこの世界的な調査によると、10組織中7組織（70%）がセキュアコーディングの実践の重要性を認識しており、業界全体で「事後対応」から「予防」への転換が進んでいることが示されました。

‍

Secure Code Warriorの最高技術責任者（CTO）兼共同創設者であるマティアス・マドゥ博士は次のように述べています。「私たちは世界中で根本的な意識の変化を目の当たりにしています。業界は、侵害が発生した後に場当たり的な解決策を講じるという事後対応から、最初の一行を書く段階から脆弱性のない高品質なソフトウェアを構築するという、人間主導のプロアクティブな実践へとゆっくりと移行しています。」

「この調査は、ソフトウェア開発において『セキュアなコード』が『高品質なコード』と同義になりつつあることを示しています。また、セキュリティはAppSec（アプリケーションセキュリティ）の専門家だけでなく、開発チームやリーダーの責任になりつつあります」と彼は述べました。‍

‍

「事後対応」と見なされるセキュアコーディング

‍デプロイされたアプリケーションに対するツールの使用や、脆弱性を探すための手動コードレビューといった事後対応的な手法が、回答者が考える「セキュアコーディング」の上位2つでした。しかし、世界中でプロアクティブな意識改革の兆しも見られ、調査対象の開発者の半数以上（55%）が、セキュアコーディングを「脆弱性から保護されたソフトウェアを構築するための、能動的かつ継続的な実践」であると認識しています。‍

マネージャーと開発者の認識のズレ

‍調査対象のマネージャーの半数以上（55%）が、セキュアコーディングは開発プロセス全体を通じて実践・統合されていると回答したのに対し、開発者では43%にとどまりました。逆に、開発者の36%は開発段階でセキュアコーディングを考慮しているものの設計段階では考慮していないと回答しており、マネージャーの回答（32%未満）とは対照的な結果となりました。

‍成功の指標として高まるセキュアコードの重要性

‍調査対象者がソフトウェア開発における最も一般的な成功指標として挙げたのは「アプリケーションのパフォーマンス」と「機能性」でしたが（それぞれ67%と62%）、回答者の約5人に4人（79%）が、「セキュアなコード」の重要性がますます高まっていると回答しました。

‍アプリケーションセキュリティの変革

‍回答者の半数近く（46%）が、アプリケーションセキュリティの責任はAppSecチーム（24%）ではなく、開発リードや開発チームが負うべきだと回答しました。また、調査対象の開発者の8割以上（81%）が、自身が作成した脆弱なコードに対して責任を負うと回答しています。

‍スキルアップへの意欲を持つ開発者

‍セキュアコーディングを学ぶ主な内発的動機として、「生産性と効率の向上」、「好奇心」、「セキュアでないコードによって引き起こされる問題の回避」が挙げられました（それぞれ20%、14%、11%）。個人的な動機として「キャリアアップ」を挙げた回答者は10%にとどまりましたが、マネージャーの5人に4人（81%）は、セキュアコーディングのスキルを持つ人材を採用する可能性が高いと回答しました。

‍さらなるトレーニングの必要性

‍調査対象のマネージャーの91%が、組織内でセキュアコーディングの実践を導入する際に平均以上の困難に直面していると回答しました。回答者の圧倒的多数（97%）が十分なトレーニングを受けていると考えているにもかかわらず、このような結果が出ています。これはおそらく、調査対象の開発者の約9割（88%）が、セキュアなコーディングは難しいと感じているためと考えられます。

‍

マドゥ博士は次のように付け加えました。「過去20年間、他のどの脆弱性よりも多くのセキュリティ侵害を引き起こしてきたOWASP Top 10のソフトウェア脆弱性を踏まえると、企業が開発者のスキルアップを図り、セキュアでないコードを根絶し、問題の発生を未然に防ぐための知識とスキルを習得させるべき時は今です。」

‍

「コードは日常的なやり取りの中心にあります。Secure Code Warriorは、私たちのつながった世界のために、素晴らしく安全なソフトウェアを作成できる、セキュリティスキルを備えた開発者を支援することに注力しています。

‍

レポート『Shifting from reaction to prevention: The changing face of application security 2021（事後対応から予防へ：2021年のアプリケーションセキュリティの変容）』の先行アクセスをご希望の方は、こちらからご登録ください。here

‍

調査手法

Secure Code Warrior®は、IT業界の市場インテリジェンスをリードするEvans Data Corporationに委託し、ソフトウェア開発に携わる開発者および意思決定者を対象としたグローバル調査を実施しました。2020年8月、北米、インド、英国、欧州、オーストラリア、ニュージーランド、東南アジアの400名を対象に調査を行いました。

‍

メディア関係者の方で、レポート全文の入手やインタビューをご希望の場合は、下記までご連絡ください。Carly Ryan, Hotwire E: securecodewarrior@hotwireglobal.com