Secure Code Warriorの調査：開発者の86%がアプリケーションセキュリティを最優先事項とは見なしていないことが判明

脆弱性のないコードを書くことを優先すべきだと考えている開発者は、わずか29%にとどまりました。

オーストラリア・シドニー - 2022年4月5日 - Secure Code Warriorは、開発者主導のセキュリティ分野を牽引するグローバルリーダーとして、年次調査レポート「The State of Developer-Driven Security」2022年版を発表しました。調査の結果、ソフトウェアセキュリティに対する開発者の行動と意識の間に乖離があることが明らかになりました。多くの開発者がソフトウェア開発ライフサイクルにおけるセキュリティ重視のアプローチの重要性を認識している一方で、86%の開発者はコード作成時にアプリケーションセキュリティを最優先事項とは見なしていません。

調査の結果、回答した1,200名の開発者の半数以上が、一般的な7つの脆弱性からコードを保護できていないことが判明しました。これは、脆弱性のないコードを書くことを優先すべきだと考えている開発者がわずか29%であるという、もう一つの重要な調査結果の一因となっています。

主要なアプリケーションにおける脅威や脆弱性は、開発プロセスの初期段階で軽減できたはずだと開発者や組織が認識しているにもかかわらず、依然として事後対応的な修正に追われています。Secure Code Warriorは、開発者がよりプロアクティブな対策を講じ、効果的なセキュアコーディングの実践を推進できるよう支援するために本調査を実施しました。

開発者は依然として相反する優先順位に直面しており、ソフトウェア開発ライフサイクルの初期段階でセキュアなコードを作成する妨げとなる管理上の障壁を多数挙げています。その主な要因は、納期遵守のための時間的制約（24%）や、マネージャーからセキュアコーディングの実装に関する十分なトレーニングやガイダンスが得られていないこと（20%）です。

トレーニングは開発者のセキュアコーディング実践に大きな影響を与えており、81%がトレーニングで得た知識をほぼ毎日活用しています。しかし、多くの開発者が日常的にトレーニングを活用している一方で、67%が脆弱性が含まれていることを認識しながらコードをリリースしていることも明らかになりました。この結果は、これまで以上に多様なトレーニング体験が必要であることを示しています。4人に1人の開発者が、自分のペースで学べるマルチメディア形式のトレーニングを求めており、5人に1人が業界認定を取得できるトレーニングであれば改善効果が高いと考えています。

「開発者は正しいことをしたいと考えており、セキュリティへの関心も高まりつつありますが、職場環境がそれを優先しやすいものになっているとは限りません。多くの場合、利用可能なツールや手法は、リスクを積極的に低減するのではなく『その場しのぎ』の結果を招いており、セキュリティチームとの優先順位の不一致が続いています」と、Secure Code Warriorの共同創業者兼CEOであるPieter Danhieuxは述べています。

「組織はセキュアコーディングの実践を推奨していますが、開発者は日々の業務においてそれがどのように定義され、何が期待されているのかを明確に理解できていません。より高いコード品質基準を達成するためには、組織は開発者に適用されるセキュアコーディング基準を正式に定め、優れたコーディングパターンを強化し、スピードを維持しながらセキュリティを実現できるような行動変容を導く必要があります。」

本年次調査では、開発者がセキュアコーディングの過程で直面し続けている困難について、さらに以下の結果が示されました。

• 36%が、コードに脆弱性が残る主な理由として納期遵守を優先せざるを得ないことを挙げています
• 33%が、コードのどこが脆弱なのかを理解していません
• 30%が、社内のセキュリティトレーニングを改善するには、現実世界のシナリオや成果を用いた実践的なトレーニングが必要だと感じています
• 30%が、セキュアコーディングの実装と実践における最大の懸念は、同僚によって持ち込まれる脆弱性への対応であると回答しています
  

「State of Developer-Driven Security 2022」調査の詳細については、以下をご覧ください。www.securecodewarrior.com/blog/where-is-secure-code-in-development-team-priorities。

調査手法：「State of Developer-Driven Security」2022年版調査は、アジア太平洋、ヨーロッパ、北米の1,200名の開発者からの回答に基づいています。調査は2021年12月に実施されました。

Secure Code Warriorについて

Secure Code Warriorは、セキュアにコーディングするためのスキルを提供することで、セキュリティ重視の開発者文化を醸成しています。当社の主力である学習プラットフォームは、関連性の高いスキルベースの学習パス、実践的なミッション、コンテキストに応じたツールを提供し、開発者が迅速に学び、構築し、スキルを応用してセキュアなコードを高速に作成できるようにします。2015年に設立されたSecure Code Warriorは、金融サービス、小売、グローバルテクノロジー企業など、世界中の450社以上の企業にとって不可欠なコンポーネントとなっています。詳細は以下をご覧ください：www.securecodewarrior.com。

メディア関係者お問い合わせ先

Carolina Machado

cmachado@securecodewarrior.com

+61 452 265 033

‍