Secure Code Warrior調査：重要インフラ産業におけるSecure-by-Design開発者準備状況の進展

Paladin Global Instituteとの共同分析により、Secure-by-Design（設計によるセキュリティ）の進捗を適切に測定するためには、開発者のスキルアップが不可欠であることが浮き彫りになりました 

‍

ボストン – 2024年10月15日 – Secure Code Warriorは、開発者主導のセキュリティ分野におけるグローバルリーダーとして、開発者のスキルアップが組織のSecure-by-Design（SBD）イニシアチブに与える影響に関する新たな調査結果を発表しました。2024年4月以降、Secure Code Warriorを含む200社以上の企業がSecure-by-Design誓約に署名しています。今回の分析では、金融サービス、防衛、ヘルスケア、ITといった重要インフラ産業の組織が、SBDイニシアチブを推進するための開発者育成において着実な進歩を遂げていることが明らかになりました。Secure Code Warriorの調査によると、これらの業界の開発チームは、開発チームのセキュリティ能力を定量化する世界的なベンチマークであるSCW Trust Scoreにおいて、他業界よりも高い平均セキュリティ体制を維持していることが分かりました。

最高情報セキュリティ責任者（CISO）にとって、SBDイニシアチブの初期段階で真のROI（投資対効果）を証明することはますます困難になっています。近年、組織が業界標準に対してどの程度進捗しているかを評価するベンチマークの欠如が大きな課題となっていました。Secure-by-Designイニシアチブを成功させる鍵は、開発者にセキュアなコードを書くスキルを習得させるだけでなく、そのスキルが確実に定着していることを業界や政府の規制当局に保証することにあります。

「SBDスキルアッププログラムの導入は、かつてないほど国家的な責務となっています」と、Paladin Capital Groupのシニア戦略アドバイザーであり、元国家サイバー局長であるクリス・イングリッシュ氏は述べています。「今回の分析の核心はリスクの低減にあります。Secure Code Warriorは、開発者のセキュリティ学習を強化し、サイバー攻撃を未然に防ぎ、国家の重要インフラを強化するための取り組みを主導しています。」

主な調査結果：重要インフラ産業における開発者のスキルアップに関するSecure Code Warriorの分析は、世界中の600社のエンタープライズ顧客と25万人のアクティブな開発者から得られた2,000万件以上のデータポイントに基づいています。分析の結果、以下のことが明らかになりました。

• 現在、開発者中心のSBDスキルアップイニシアチブに参加している開発者の総数は、世界全体の開発者の4%未満です。
• 金融サービス業界など、特定の重要インフラセクターは、SCW Trust Scoreで測定されるセキュリティ体制が、非重要インフラの平均と比較して最も高い水準にありました。例えば、金融サービスの平均Trust Scoreは336でした。
• しかし驚くべきことに、コンプライアンスや規制要件があるにもかかわらず、金融サービスセクターのセキュリティ体制は、他のいくつかの重要セクターと同程度でした。
• 大規模および小規模なSecure-by-Designスキルアップイニシアチブはいずれも成功し得ますが、調査によると、小規模なイニシアチブの方が迅速に立ち上げ、より速く実行できることが示されています。しかし、これらのイニシアチブを成功させ、測定可能なROIを早期に実現するためには、義務化が不可欠です。
• スキルアップイニシアチブがしっかりと定着している場合、開発者がアプリケーションに持ち込むリスクは大幅に減少します。分析によると、大規模なスキルアップイニシアチブ（1社あたり7,000人以上の開発者）に参加している開発者は、脆弱性を予測可能な形で47〜53%削減できることが分かりました。

Secure-by-Designは世界中で勢いを増しており、各国が同様のガイドラインを広範なサイバーセキュリティ戦略に組み込んでいます。しかし、開発者にセキュアなデフォルトを提供し、セキュリティを理解するソフトウェア開発者層を育成することは、開発者のスキルベンチマークを裏付ける適切なデータポイントなしには困難です。アジャイルなスキルアッププログラムは、確立されたベースラインに基づき、開発者が直面する現実的な課題に対処する実践的なセッションを組み合わせることで、開発者の共感を得ることができます。

「世界的なサイバー脅威がかつてないほど高まる中、今回の新たな調査結果は、重要な脆弱性を低減するために、デジタルインフラ全体でSBDイニシアチブを強化する必要性を示しています」と、Paladin Global Instituteのプレジデントであり、元国家サイバー局長代行のケンバ・ウォルデン氏は述べています。「この調査は、人材のスキルアップと、重要なサイバーセキュリティ目標を達成するためのベンチマーク作成に向けた明確な行動喚起です。」

「ベースラインとベンチマークは、セキュアコーディングを組織のDNAに不可欠な要素として組み込むことで、セキュリティ体制を大幅に最適化できます」と、Secure Code Warriorの共同創設者兼CTOであるマティアス・マドゥ氏は述べています。「SBDイニシアチブが真に進展しているかを知るには、開発者のスキルアップの取り組みが効果的であり、セキュリティのベストプラクティスが彼らの作業習慣に定着しているという定量的な証拠が必要です。開発者が真にコーディングのライセンスを得たと確信できなければなりません。」

多くのセキュリティリーダーは、エンタープライズセキュリティプログラムの大部分、特に個人の継続的なスキルアップや評価を伴う要素を拡張することの難しさを繰り返し指摘しています。これは正当な懸念ですが、開発者に検証済みのセキュリティスキルを求める世界的な法改正やガイドラインが相次ぐ中、この課題を克服しなければなりません。世界中の多くの組織がすでに行動を起こしており、大きな成果を上げている大規模なスキルアップイニシアチブを導入しています。

Secure Code Warriorの最新の分析とSCW Trust Scoreの詳細については、こちらをクリックしてください。

‍

Secure Code Warriorについて：

Secure Code Warriorは、デジタル世界の安全を守る基準を確立するセキュアコーディングプラットフォームです。開発者がソフトウェアセキュリティの原則を学び、適用し、定着させるための最も効果的なセキュアコーディングソリューションを提供する、世界をリードするアジャイル学習プラットフォームを展開しています。600社以上の企業がSecure Code Warriorを信頼し、アジャイルなセキュリティ学習プログラムを導入して、リリースするアプリケーションの脆弱性を排除しています。

Secure Code Warriorに関する詳細は、www.securecodewarrior.comをご覧ください。