セキュア開発を牽引する専門家による知見

過去数年間はサイバーセキュリティ標準を変革したと言っても過言ではありません。必須ではありませんが、すべての組織がそれに追随し、ベンダーのセキュリティ慣行を自社の内部セキュリティプログラムの一部であるかのように精査することがすべての組織の目標となるはずです。

Business leaders need to make room for SBOMs as a priority, especially with so much change in the air for vendors and their ownership of security. However, while we’re at it, perhaps we need to look at how they can be improved going forward.

シリーズCの資金調達発表に続き、当社の新たな歩みについてお知らせできることを大変嬉しく思います。セキュリティ業界のリーダーであるシノプシスは、製品スイートに新たな強力なソリューション「Synopsys Developer Security Training」を追加しました。本製品はSecure Code Warriorの技術を基盤としています。

社会インフラや自動車、医療技術など、あらゆるシステムの根幹を支えるコードを書く開発者の多くが、自身のセキュリティスキルを証明することなく開発に従事しているという現状は、不可解と言わざるを得ません。その一方で、セキュアな開発手法を熟知していると繰り返し証明してきたセキュリティスキルの高い開発者たちが、なぜ他の開発者と同様に、セキュリティゲートのせいで停滞し続ける開発パイプラインの列に並ばなければならないのでしょうか。

コードの脆弱性や技術的負債への対応コストは高く、ソフトウェア開発チームの生産性を低下させ続けています。セキュアコーディングのためのアジャイル学習プラットフォームを導入することで、開発者がセキュアコーディング技術をより効果的に習得し、SDLCの早期段階で脆弱性を修正・予防し、大幅なコスト削減を実現する方法を解説します。本ブログでは、アジャイル学習プラットフォームがもたらす財務的インパクトとROI（投資対効果）の考え方について説明します。

当社はシリーズCラウンドの資金調達を完了し、5,000万米ドルを調達したことを発表しました。これは、先駆的な組織が開発チームの力を活用し、一般的な脆弱性を未然に防ぐという当社のミッションを次のフェーズへと進めるためのものです。

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

セキュアコーディングのためのアジャイル学習プラットフォームを開発者のワークフローやツールに組み込み、セキュアコーディングを学ぶ文化を醸成する方法をご紹介します。

今年初め、PCIセキュリティ基準委員会はPCIデータセキュリティ基準（PCI DSS）のバージョン4.0を発表しました。2025年3月まで完全な準拠は求められませんが、今回のアップデートはこれまでで最も大きな変革を伴うものであり、多くの企業は複雑なセキュリティプロセスや技術スタックの要素を評価し、場合によってはアップグレードする必要があります。これに加え、役割に応じたセキュリティ意識向上トレーニングや、開発者向けの定期的なセキュアコーディング教育の実施も不可欠です。

セキュアコーディングのためのアジャイル学習プラットフォームが、SDLCの初期段階から対策を講じることで、いかに開発者のスキル向上、リスク低減、そして長期的な技術的負債の解消を実現するかをご紹介します。

アプリとソフトウェアの責任を厳密な階層の中で定義し、それらのポリシーを最小限の権限で適用できるようにすることで、さまざまな脅威環境があってもアプリやソフトウェアが存続し、繁栄できるようにすることができます。

CISAの国家サイバーセキュリティ戦略は、ソフトウェアの基準を全面的に引き上げ、セキュリティスキルを備えた開発者の新時代を切り拓くための、またとない好機です。

2023 年 3 月 20 日、2008 春春サクラン、VIN838で838性 CVE-2023-20860 始業者の皆さん。「MVCMatcher」Spring Devendesai、olunginafefea。セキュア・コード・ウォリアーズ（Secure Code Warrior2008）で、MVC リクエストマッチャーズ（Secure Code Warrior Warrior Warrior Warchers）

Secure Code WarriorのCEO兼共同創設者、Pieter Danhieux氏によるCyberNews Q&A

ソフトウェア開発ライフサイクルにおける最大の課題の一つは、開発者が最初からセキュアなコードを書くための学習時間を確保できていないことです。開発者は手戻りや修正作業に膨大な時間を費やしており、それが数百万ドル規模の機会損失につながっています。開発スピードを落とさずにセキュアコーディングを実践し、こうした課題を解消して生産性を高める方法をご紹介します。

Secure Code Warriorの新機能：コース管理の新しい方法や、追加コンテンツの探索機能をご体験ください。

今、デジタルの寵児として注目を集める「メタバース」の出現により、コードレベルの脆弱性とソーシャルエンジニアリングの両面において、攻撃対象領域が大幅に拡大しています。しかし私たちは、虚構の上に成り立つこの新たな戦場に備える術を、まだ持ち合わせていません。

セキュアでないコードへの対応やそれに伴う技術的負債は、今日のテクノロジー業界が直面する最大の課題の一つです。スケーラブルなセキュアコーディング研修プログラムを導入することで、不適切なコーディングパターンを改善し、ソフトウェア開発サイクルの早期段階で脆弱性を検出し、技術的負債を削減する方法を学びましょう。

何をもって「セキュアコーディング」とみなすかについては、議論の余地があります。Evans Dataとの共同調査による近年の研究で、この認識が明確に示されました。「State of Developer-Driven Security 2022（開発者主導のセキュリティの現状2022）」調査では、1,200名の現役開発者の知見と経験を掘り下げ、セキュリティ領域における彼らの姿勢や課題を明らかにしています。

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

今週、Secure Code Warriorは設立8周年を迎えました。この8年という月日は、アポロ11号のミッション期間の350倍、サッカーの試合なら45,000回分、あるいは『スーパーマリオ オデッセイ』を5,696回クリアする時間に相当します。一方で、ゾウガメの寿命（ちなみに250年です）のわずか30分の1に過ぎません。急成長を遂げるスタートアップの世界において、この8年は多くの紆余曲折や学び、そして達成の連続でした。その多くは、創業時に事業計画書を書き始めた頃には想像もできなかったことです。

Secure Code Warriorでは、開発者や組織が今日の絶え間なく変化するセキュリティ課題に取り組むための適切なスキルを身に付けることができるように、常に革新を続けています。ソフトウェア開発サイクルの開始時に、開発者主導のセキュリティを通じて組織がソフトウェアを保護できるように、プラットフォームの主な機能と更新、および今年公開されたリソースとガイドラインをまとめました。

テクノロジースタックや追加のトレーニングプログラムへの投資において、誰もが優れた投資収益率（ROI）を求めています。しかし、セキュリティに関しては、単純なROIの計算を超えた長期的な視点が必要です。開発者主導のセキュリティへの投資が、高額な侵害コスト、生産性の低下、蓄積された技術的負債を削減するだけでなく、今日の脅威環境を先取りするための先見的かつ費用対効果の高い戦略をどのように構築するかを学びましょう。

SolarWinds事件のような大規模なセキュリティ侵害を受け、開発者主導のセキュリティ対策を強化する動きが加速しています。この事件では、人気の管理ソフトウェア「Orion」のアップデートプロセスが悪用され、大手企業や政府機関を含む1万8,000以上のユーザーが感染しました。あらゆる規模の組織が「ソフトウェアサプライチェーン」を問い直し、ソフトウェアを開発するエンジニアに検証済みのセキュリティスキルと意識を求めるようになっています。

堅牢な技術スタックの重要性は誰もが認めるところです。コード内の脆弱性を発見・修正する際、修復までの平均時間（MTTR）を短縮し、信頼性の高い堅牢なソリューションを活用することが、Secure Code Warriorの統合機能が目指すゴールです。開発者のワークフローにマイクロラーニングの要素を組み込むことが、より良い学習と迅速な修復を実現する鍵となります。

今日、ほぼすべての開発チームが何らかのコンプライアンス研修を取り入れています。これは、企業が業界のフレームワークや政府の規制を遵守していることを保証するための初期認定プロセスの一環であったり、年次要件やレビューの一環であったりします。組織が基本的なコンプライアンス要件を満たせなければ、従業員は現実的に業務を遂行することができないため、これは重要なステップです。

開発者が脆弱性を削減し、良い影響をもたらすためには、脆弱性の仕組み、危険性、発生原因となるパターン、そしてそれらを修正するための設計やコーディングのパターンを、彼らの実務に即した文脈で根本から理解する必要があります。段階的なアプローチを取り入れることで、知識を積み重ね、セキュアなコーディング、コードベースの保護、そしてセキュリティ意識の高い開発者として自立するために必要な全体像を把握できるようになります。

2022年版Gartner Cool Vendors in Software Engineeringにおいて、開発者のセキュリティスキルの重要性が強調されています。詳細およびレポート全文はこちらからご覧ください。

デジタルビジネスを推進するソフトウェア、アプリケーション、プログラムを生み出す開発者は、今や多くの組織にとって生命線となっています。現代のビジネスのほとんどは、競争力のあるアプリケーションやプログラムなしでは、また、Webサイトやその他のインフラへの24時間体制のアクセスなしでは、（収益を上げながら）機能することはできないでしょう。

最近、セキュリティ研究者チームが、Pythonのtarファイル展開機能に15年前から存在するバグを発見したと発表しました。この脆弱性は2007年に初めて開示され、CVE-2007-4559として追跡されていました。公式のPythonドキュメントには注意書きが追加されていましたが、バグそのものは修正されないまま放置されていました。

Secure Code Warriorの新機能：Coding Labsによる実践的な開発者トレーニング、LMS（学習管理システム）とのセキュアコーディングトレーニングプログラムの統合など、多彩な機能が追加されました。

Uberで発生した最近のセキュリティインシデントを題材に、ハードコードされた認証情報やソーシャルエンジニアリングに伴うリスクについて解説します。なぜ組織が「シフトレフト」を推進し、開発者にセキュアコーディングのベストプラクティスを習得させることが重要なのか、その理由を学びましょう。

ソフトウェア開発はもはや孤立した領域ではありません。クラウドから家電や自動車に組み込まれたシステム、重要な社会インフラ、そしてそれらすべてをつなぐAPIに至るまで、ソフトウェアが関与するあらゆるリスクを考慮すると、攻撃対象領域は境界を失い、制御不能な状態にあります。

オープンソースソフトウェア・セキュリティ・モビライゼーション・プランは、開発者主導のセキュリティに向けた前向きな一歩です。しかし、私たちは今一度立ち止まり、組織として十分な成熟度を備えているか、そして開発チームが最新かつ最高水準の防御戦略を実装するために必要なセキュリティ意識とスキルを身につけているかを、真摯に見極める必要があります。

シフトレフトを実現するには、開発チーム全体でセキュリティに関する知識とスキルを継続的に向上させていく必要があります

APIセキュリティは困難な課題ですが、適切なトレーニングと計画、そしてベストプラクティスを重視することで、どれほど巧妙な脆弱性であっても軽減することが可能です。

より簡単で強力になったコース作成フロー、アーリーアクセス切り替え機能、そしてSAP ABAPトレーニングコンテンツを追加しました。

ABAP開発者のための、実践的で効果的なセキュアコーディングトレーニング。

Psychic Signatureの脆弱性は、認証などの重要なタスクでシステムを保護するECDSA署名の暗号化技術に存在します。この脆弱性を利用すれば、ハッカーはあらゆる署名チェックを回避できてしまいます。本記事では、この脆弱性の詳細と対策について解説します。

先日、NGINXのゼロデイ脆弱性が公開されました。また同時期に、MicrosoftからもWindows RPCのRCE（リモートコード実行）脆弱性という重大な脆弱性が公表されています。本記事では、これら2つの問題によるリスクの対象範囲と、その軽減策について解説します。

ゼロデイ攻撃は、その名の通り、開発者が脆弱性を発見して修正する時間的猶予を一切与えません。攻撃者が先手を打つためです。被害が発生した後に、ソフトウェアの修正とビジネス上の評判の回復という二重の苦難に追われることになります。攻撃者は常に優位な立場にあり、その差を可能な限り縮めることが極めて重要です。

2年目となる今年も、私たちはEvans Data Corp.と共同で、世界の開発者コミュニティを対象とした包括的な調査を実施しました。セキュアコーディングの実践に関するスキル、認識、行動、そしてソフトウェア開発ライフサイクル（SDLC）におけるそれらの影響と重要性について調査した結果、多くの点で非常に驚くべき事実が明らかになりました。

Javaコミュニティで最も人気のあるライブラリの一つであるSpringにおいて、リモートコード実行（RCE）に関連する2つの脆弱性が公開されました。「Spring4Shell」および「Spring Cloud Function」に関する既知の詳細をまとめましたので、リスクの有無や、該当する場合の対処法をご確認ください。

サイバー犯罪者との戦いにおいて、私たちは彼らと可能な限り歩調を合わせ、先回りした予防的な考え方で彼らの活動領域を封じ込める必要があります。来年、彼らがどのような動きを見せるのか、私の予測をまとめました。

サイバーセキュリティアプローチで目標を掲げている企業の多くは、公式のセキュリティチャンピオンプログラムを実施し、そのような役割に適性と情熱を示す個人に、チーム間の連絡や一般的なチアリーディングからベストプラクティスの監督まで、主要なセキュリティ責任を課しています。

誕生日の節目は、これまでの努力の成果を振り返り、チームを称え、自信を持って翌年に挑むための素晴らしい機会です。創業から7年が経った今、ふと考えます。「私たちはやり遂げたのだろうか？」「もう一人前の企業と言えるのだろうか？」もちろん、組織として成熟はしましたが、創業当時から持ち続けている好奇心、情熱、そしてオタク気質をこれからも決して失いたくはありません。

開発者にセキュリティの専門家になることを期待すべきではありませんが、組織が開発者支援の新しい基準を採用することで、より高品質なソフトウェアを生み出せるようになります。

2021年12月、Javaライブラリ「Log4j」において「Log4Shell」と呼ばれる重大なセキュリティ脆弱性が公表されました。本記事では、Log4Shellの脆弱性について、その基本を誰にでも分かりやすく解説します。また、この脆弱性の知識を使って、シミュレーションされたWebサイトへの攻撃を体験できる演習環境（プレイグラウンド）もご紹介します。

現代のサイバーセキュリティという絶え間ない猛攻撃に対抗するための現実的なアドバイスも、最速の解決策も得られていません。もちろん、侵害はそれぞれ独自の方法で異なり、脆弱なソフトウェアに悪用される可能性のある攻撃ベクトルは数多くあります。実行可能な一般的なアドバイスは限られていますが、ベストプラクティスのアプローチは、時間ごとに欠陥が増えていくものです。

大きなセキュリティインシデントが発生していない場合、セキュリティチーム以外では「事後対応」ではなく「予防」を重視するアプローチの重要性が十分に理解されていない可能性があります。

Implement unit test coding guidelines uniformly and consistently

API セキュリティを偶然に任せることは、後で問題を起こす確実な方法であり、最悪の場合は壊滅的な結果を招き、やり直しはイライラさせられ、せいぜいパフォーマンスが低下します。

Joda-Timeからjava.timeへ効率的に移行する方法

サイバーセキュリティが重要であることは言うまでもありませんが、サプライチェーンという文脈において、それは具体的に何を意味するのでしょうか。

開発者にとって、AppSecの分野へ転身し、高収入を目指す絶好のチャンスです。

時ごろろろろろと、いしみみっけいっこうこうもりん、つるとみずず、みずずずずず。、利、。、。

プロの開発者はDevSecOpsを取り入れ、セキュアなコードを書くことを望んでいますが、その取り組みを拡大させるには組織によるサポートが不可欠です。

10月初旬、Apacheはパス・トラバーサルおよびリモートコード実行の脆弱性を修正するためにバージョン2.4.49をリリースしましたが、その修正が不完全であったため、続いて2.4.50をリリースしました。私たちは、これらのリスクを実際の環境で実証するためのミッションを作成しました。ぜひ今すぐお試しください。

マイカ・マルティネス氏は、ネルネット社でサイバーセキュリティアナリスト兼シネマトグラファーとして活躍しています。開発者向けのセキュアコーディング研修プログラムの作成を任された際、彼はチームの関心を引くために独創的なアプローチを取り入れました。その研修プログラムの運営方法が非常に印象的だったため、詳しくお話を伺いました。

脆弱性の代表格として悪名高いインジェクション攻撃ですが、現在では「壊れたアクセス制御」が最悪の脆弱性としてその座を奪いました。開発者はこの変化を重く受け止める必要があります。

開発者は、コードだけでなく、セキュリティ設定やアクセス制御にも最も深く関わる存在です。彼らのセキュリティスキルを育成し、NISTが定める高い基準を達成するには、特に大規模な開発チームにおいては、実践的なコース構成が効率的な解決策となるでしょう。

ウェブベースのソフトウェアやAPI、モバイルデバイスと同様に、組み込みシステムの脆弱なコードも、攻撃者に発見されれば悪用される可能性があります。

アプリケーションセキュリティの専門家として、組織のアプリケーションのサイバーセキュリティを確保することはあなたの責務です。しかし、アプリケーションが動作するコードを書くのはあなたではなく、開発チームのエンジニアです。では、彼らがセキュリティを意識してシステムを開発するように促すには、どうすればよいのでしょうか。

本記事では、組み込みシステムのセキュリティの概要について解説します。まず基本的な定義から始め、組み込みセキュリティにおける課題、代表的な解決策、そして現在欠けている要素について順を追って説明します。

本記事では、MISRA C:2012規格とC2を比較し、新しい規格へ移行するための手順を解説します。また、セキュアな組み込みシステムを構築する上で、なぜMISRAへの準拠が必要なのかについても説明します。

本記事では、組み込みデバイスと組み込みシステム開発の概要について解説します。

Contrast SecurityのLarry Maccherone氏を迎え、開発者にセキュアコーディングを習得させるための「コンテキスト学習」の有効性について伺いました。日々の業務やワークフローを妨げることなく、組織がいかにして開発者に不可欠なセキュリティトレーニングを提供できるのか、その手法をご紹介します。

この度、当社会長兼CEOであるPieter DanhieuxによるForbes Technology Councilへの初投稿が公開されました。本記事では、サイバー攻撃やデータ侵害を防ぐ鍵として、開発者のスキルアップによるセキュアなコード作成の重要性について詳しく解説しています。

APIセキュリティは、多くのセキュリティ専門家が常に懸念している課題であり、私たちはそれに対抗するための知識を身につける必要があります。

バイデン政権による最近のサイバーセキュリティ大統領令は、セキュリティ業界で大きな話題となっています。特に、日々の業務においてセキュアコーディングのベストプラクティスを実践することの重要性を開発者に浸透させようとしている人々にとっては、なおさらです。

先日、Selligent Marketing CloudのソフトウェアエンジニアであるDimitri Vanderhaeghe氏にお話を伺いました。同社は、AIを活用した高度に統合されたオムニチャネルマーケティングオートメーションプラットフォームを提供しており、意欲的なB2Cマーケターが、現代のコネクテッドコンシューマーとのあらゆる接点を最大限に活用できるよう支援しています。変化の激しいB2Cテクノロジー企業にとって、市場の拡大と高まる需要への対応は不可欠です。こうした需要に応えるためには、サイバーセキュリティ、とりわけ開発者主導のセキュリティスキルプログラムへの注力が極めて重要となります。

衝撃的な統計をご紹介しましょう。中小企業の60%が、サイバー攻撃を受けてから6ヶ月以内に廃業に追い込まれています。大企業であれば数百万ドル（時には数十億ドル！）もの損失を出し、ブランドの評判も失墜します。組織がセキュアコーディングの実践を強化する中、「シフトレフト」の動きが加速しています。DevSecOpsの台頭により、SDLCの初期段階からセキュアなコードの構築に注力することが当たり前になりつつあります。

Discover more about the most loved features of Sensei.

IBMの調査によると、リリース後に脆弱性を修正する方が、最初に脆弱性を発見して修正する場合の30倍の費用がかかります。このことを念頭に置けば、将来を見据えたCIOがセキュア・コーディング・プラクティスを導入しているのは当然のことです。つまり、最初からより安全なコードを書けるように開発者を訓練し、身につけること、つまり開発者を組織の「最前線」にすることを意味します。

組織にとってセキュアコーディングの品質向上トレーニングにはどのような効果が期待できるのか、また、それは投資に見合う価値があるのでしょうか？

高度に接続されたこの世界では、ほぼすべての組織が共通のアキレス腱を共有しています。コード内の 1 つの脆弱性が悪用されるだけで、顧客データの盗難、評判の低下、および重大な経済的損失を引き起こす可能性があります。安全なコーディングに関する組織の連携はかつてないほど必要不可欠ですが、それを達成することは口で言うほど簡単ではありません。

米国連邦政府による最新の大統領令は、機能的なサイバーセキュリティの多岐にわたる側面に触れていますが、今回初めて、開発者が与える影響と、開発者が検証済みのセキュリティスキルと意識を持つ必要性について具体的に言及されました。

現在、セキュアなコーディングの実践は全員の責任であると考える開発者はわずか15%に留まっています。セキュリティの脅威が増大する現代において、これでは到底十分とは言えません。何らかの対策が必要です。健全なアプリケーションセキュリティ文化を築く鍵は 、その背景にある主要な影響要因（そしてインフルエンサー！）を理解することにあります。

サイバーセキュリティのベストプラクティスに対する人間主導のアプローチを強化する必要があります。そうすれば、自動化やツール、すでに埋め込まれて発見されている問題への対応に大きく依存するよりも、より良い結果が得られるでしょう。

脆弱なコードは企業に数百万ドルの損失をもたらします。では、セキュアコーディングの実践を阻むものは何なのでしょうか。あらゆるものがソフトウェアに依存する現代において、コードの安全性を確保することは不可欠です。企業のブランド価値や財務の健全性は、それにかかっていると言っても過言ではありません。しかし、セキュアコーディングには多くの懸念があり、その完全かつ効果的な導入を妨げる障壁も存在します。今こそ、これまでとは全く異なる新しい働き方が求められています。

ここ数年、市場投入のスピードを優先するあまり、ネットワークセキュリティ、テラバイト単位の機密性の高い顧客データ、そしてかけがえのないブランドの評判といった多くのものが犠牲にされてきました。

サイバーセキュリティ業界にとって、クリスマスを台無しにするような出来事があるとすれば、それは米国政府に影響を与える史上最大のサイバースパイ事件へと発展しつつある、壊滅的なデータ侵害でしょう。

開発者向けのセキュアコーディング研修において、教育効果が期待通りに上がっていないのが現状です。多くの企業が多額の投資をしながら、実務での成果はほとんど得られていません。それも無理はありません。

データ侵害とその被害額が増加の一途をたどる中、世界中で生成されるコードの量は、もはやセキュリティ専門家だけで対応できる規模を超えています。企業にはセキュアコーディングのスキルを持つ開発者が不可欠であり、開発者自身もキャリアアップのためにそのスキルが必要であることを理解しています。しかし、既存のセキュアコーディング研修は、彼らの期待に応えられていません。では、開発者が本当に求めているセキュアコーディング研修とはどのようなものでしょうか。

「退屈、退屈、また退屈！」セキュアコーディングのトレーニングについて話すと、開発者から決まって返ってくる言葉です。Secure Code Warriorは、もっと良い方法があるはずだと考えています。

AppSecツールが期待通りに活用されていないのにはいくつかの理由があります。それはツールやその機能の問題というよりも、セキュリティプログラム全体にツールがどのように統合されているかという点に起因しています。

開発者がセキュアコーディングを学ぶ主な動機は何でしょうか。また、その動機をどのように活用すれば、アプリケーションセキュリティプログラムを成功に導くことができるのでしょうか。

サイバー脅威が増大し続ける中、組織はセキュリティ、実用性、スピードの間で日々妥協を迫られており、その過程でリスクにさらされています。

サイバー脅威が増大し続ける現代において、開発者は十分な備えができているでしょうか。セキュアコーディングの要である「人」、つまり開発者は、コネクテッドワールドの安全を守る役割を果たす準備ができているのでしょうか。この問いに答えるため、Secure Code WarriorがEvans Data Corp.と共同で実施した、セキュアコーディング、セキュアなコーディング手法、およびセキュリティ運用に対する開発者の意識調査から、いくつかの洞察を見ていきましょう。

過去20年以上にわたり、他のどの脆弱性よりも多くのセキュリティ侵害を引き起こしてきた10のソフトウェア脆弱性があります。それにもかかわらず、多くの企業がいまだに侵害やインシデントが発生した後の事後対応を選択しており、その結果生じる人的・ビジネス的影響への対応に追われています。しかし、最新の調査研究は、人間主導による新たな方向性を示唆しています。

SQLインジェクションが誕生して22年。お酒が飲める年齢になってもなお、私たちはこの脆弱性を根絶するどころか、いまだにその脅威にさらされ続けています。

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

不信感という不安定な土台の上に築かれた関係には、残念ながら期待を寄せないのが賢明です。悲しいことに、組織内の開発チームとAppSecチームの関係が、まさにこのような状態に陥っているケースは少なくありません。

Javaの落とし穴を楽しく学べるクイズと、その解決策をまとめたGitHubリポジトリです。

SenseiおよびIntelliJのインテンションアクションを、IDE内のインスペクション、コマンドライン、CI（ 継続的インテグレーション）環境でバッチ実行する方法を解説します。

ある程度の品質を備えたコードは、定義上セキュアであると言えます。しかし、セキュアなコードが必ずしも高品質であるとは限りません。「左のさらに左」から始めることは、純粋なセキュアコーディングの基準を確保するための公式となるのでしょうか。

本ブログ記事では、Javaでよくあるコーディングミス（条件演算子の代わりにビット演算子を使用すること）を取り上げ、それがどのような脆弱性を引き起こすのか、そしてSenseiを使ってその問題を検出し修正する方法について解説します。

Kamer van Koophandelは、役割に応じた認定制度、Trust Scoreによるベンチマーク、そしてセキュリティを全員で担う文化を通じて、セキュアコーディングを日々の開発プロセスにどのように組み込んだのかを紹介します。

PaysafeとSecure Code Warriorのパートナーシップにより、開発者の生産性が45%向上し、コードの脆弱性が大幅に削減された事例をご覧ください。

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Devlympics 2023のレポートで、大会の結果をご覧ください。各業界における開発者の参加状況、技術スタックやプログラミング言語のトレンド、そしてSecure Code Warriorが主催するこの年次グローバルイベントで取り上げられた主要な脆弱性やCWEについて詳しく解説しています。

Sageがどのようにして柔軟かつ関係性を重視したアプローチでセキュリティを強化し、200名以上のセキュリティチャンピオンを育成して、目に見えるリスク低減を実現したのかをご紹介します。

WorkdayがSecure Code Warriorのアジャイル学習を通じて、いかに開発者トレーニングを変革したかをご紹介します。開発者に実践的かつ言語別の教育を提供することで、WorkdayはSDLCの初期段階で脆弱性を削減することに成功しました。セキュアなコード文化を構築するための、彼らの素晴らしい成果と重要なポイントをご覧ください。

本ケーススタディでは、Thalesがどのように人、プロセス、技術へのアプローチを構築し、開発者が主体的にセキュリティチャンピオンとして活躍できるアジャイルなセキュアコーディング学習プログラムを実現したのかをご紹介します。

小売業界の巨人であるコルゲート・パルモリーブが、デジタルトランスフォーメーションの過程でいかにしてアプリケーションセキュリティを再構築したかをご紹介します。セキュアコーディングの課題に直面した同社は、開発者のワークフローに短時間で学べるコンテキストに応じた学習を取り入れることで、そのアプローチを刷新しました。

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAGグループは、アジア太平洋地域をリードする数多くの保険会社を傘下に持ち、数百万ものお客様に保険を提供しています。その年間保険料収入は約114億豪ドルにのぼります。

機械学習やサイバーセキュリティなど、多岐にわたる分野で数千人の従業員が実践的かつ最先端のスキルを習得できるよう、社内技術教育イニシアチブをどのように構築したのかをご紹介します。

この包括的なケーススタディでは、Secure Code Warriorのトーナメントを活用して開発者の関与を促し、自動車ソフトウェアに影響を与える主要な脆弱性への意識を高め、さらに複数の言語やフレームワークにわたって指標を収集した事例について詳しく解説します。

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Cyber Security Action Month (known as Cyber Security Awareness Month globally) is an annual Australian awareness campaign held in October to encourage people and businesses to improve their online security through simple everyday habits.

政府は、マシン速度のサイバー攻撃を未来の出来事として扱うことはもはやできません。先日のメディケアでの情報漏洩が示した通り、その未来はすでに到来しているからです。

‍

‍

10月は「サイバーセキュリティ月間」ですが、この1年を振り返れば明らかなように、脅威の状況は立ち止まってなどくれません。AIを活用したフィッシングキャンペーンやディープフェイクによるソーシャルエンジニアリング、そして病院、学校、自治体を標的としたランサムウェア攻撃が絶え間なく続く中、2026年のセキュリティチームに休息の時間はほとんどありませんでした。今年で30年目を迎えるこの恒例行事は、業界にとって立ち止まって現状を見つめ直し、「私たちは本当に安全になっているのか、それともただ忙しくなっているだけなのか」を問い直す絶好の機会です。

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

OpenAIのエージェントが、ごく一般的な調査を命じられた際にオーストラリア政府のウェブサイトに「侵入」したことが明らかになりました。この種の事例としては初のケースとして注目されています。

今回の事案は、これまでに発生したAIエージェントによる侵害事例に続くものであり、AIの不整合がもたらす危険性、開発者の説明責任、そして不十分なインシデント開示プロトコルといった重大な問題を浮き彫りにしました。専門家は、将来起こりうる壊滅的な事態を防ぐため、技術的な境界線の設定、強固な監視体制、そして義務的かつ迅速な報告が不可欠であると強調しています。

6月、AIエージェントによってメディケアを含む少なくとも3つの政府システムが侵害されていたことが判明しました。業界の多くの関係者がこの事態に警鐘を鳴らしています。

世界的なAI規制の動向を把握することは、AI技術そのものの進化についていくことと同じくらい困難になっています。セキュリティリーダーにとって、毎週のように新たな進展や規制案、政策の変更が発表されており、ただでさえ複雑なリスク環境にさらなる負荷がかかっています。

多層防御のアプローチを成熟させた組織にとって、脅威モデリングは決して新しい概念ではありません。これは長年にわたり予防的セキュリティの要として、企業が脆弱性を悪用される前に特定し、対処することを可能にしてきました。

Secure Code Warriorは、非エンジニア職の従業員を対象としたAIリテラシー向上プログラム「Citizen AI」を開始しました。これは、企業全体での責任あるAI活用を支援することを目的としています。

新しいAIリテラシープログラムにより、非開発職の従業員は、AIを活用したワークフローを安全に導入するために必要な判断力、リスク意識、責任ある利用習慣を身につけることができます。

Secure Code Warriorは、Citizen AI by Secure Code Warriorを発表しました。これは、非エンジニアの従業員が責任あるAI活用のための準備を整えられるよう設計された、新しいAIリテラシープログラムです。Citizen AIは、AIに関連する人的リスクの低減、企業全体のAIガバナンスの推進、AI利用に対する従業員の自信向上、そしてAIを活用したワークフローの安全な導入を加速させます。

‍

AIソフトウェアガバナンスおよび開発者向けセキュリティスキルアップのリーダーであるSecure Code Warriorは本日、非エンジニア職の従業員向けAIリテラシープログラム「Citizen AI by Secure Code Warrior」を発表しました。本プログラムは、組織が責任あるAI導入に向けた人材育成を支援するために設計されています。

新しいAIリテラシープログラムにより、非開発職の従業員は、AIを活用したワークフローを安全に導入するために必要な判断力、リスク意識、責任ある利用習慣を身につけることができます。

AIを活用したソフトウェア開発に向けたガバナンスや開発者向けトレーニングプログラムを策定する際、多くの組織が重要なターゲットを見落としています。

AIソフトウェア開発は、開発者とそのチームにとって急速な進化を続けています。Secure Code WarriorのCEO兼共同創設者である{{wf ...}}氏は、人間が書くコードからAI支援によるコーディングや自律的なワークフローへと標準が移行する中で、多くのセキュリティチームが自律型システムがもたらす新たなリスク管理という重大な課題に直面していると指摘しています。

‍

‍

ソフトウェア開発企業が直面している問いは、生成AIをコード作成に利用すべきかどうか、あるいは生成AIによるコード生成の割合が近い将来増加するかどうかではありません。その議論は、ここ24ヶ月ですでに過去のものとなりました。今問われているのは、生成AIやAIエージェントがコードを生成する中で、いかにしてセキュリティとコンプライアンスを維持するかという点です。

毎年9月は「内部不正防止啓発月間」です。これは、最も深刻なセキュリティインシデントのいくつかは外部からの攻撃ではなく、組織内部から発生するという事実を再認識する重要な機会です。悪意の有無にかかわらず、過失や単純なヒューマンエラーであっても、システムやデータ、施設への正当なアクセス権を持つ内部関係者は、現代の組織が直面する最も根深く、検知が困難なリスクの一つです。ハイブリッドワークの普及やAIツールの活用、IT環境の複雑化に伴い、内部脅威の状況は常に変化しており、セキュリティ専門家には新たな視点での対策が求められています。

エージェント型AIが生産性をさらに向上させる中、人間によるコードレビューは深刻なボトルネックとなっています。開発者は上流工程へとシフトし、AIがルールに従うための基盤となるガイドラインを確立する必要があります。

​サイバーセキュリティ業界は、10年以上にわたり「セキュリティ・バイ・デザイン」の原則を提唱してきましたが、人工知能（AI）がもたらすリスクを目の当たりにし、驚きを隠せません。組織が競ってAIの導入を進める中、CISOにとっての最優先事項は、自らが組織の足かせにならないようにすることです。しかし、AIの適切な活用とガバナンス、そして可観測性とトレーサビリティが確保されていなければ、組織はAIリスクに対して無防備な状態に陥る可能性があります。​

Secure Code Warriorは、ソフトウェア開発におけるAI利用を管理するためのフレームワーク「SCW AI Adoption Model」を発表しました。これは、従来のソフトウェア開発ライフサイクル（SDLC）から、同社が提唱する「エージェント型開発ライフサイクル（ADLC）」へと業界が移行する中で、組織を支援するために設計されたものです。

多くのソフトウェアエンジニアリングチームが、AIコーディングアシスタントから本格的なAIエージェントによるコード生成へと移行し、生成されるコード量が飛躍的に増加する中、そのセキュリティを確保することが最優先事項となっています。本調査では、AI支援型やエージェント型のコード開発を導入する組織に向けた実践的なガイダンスを提供します。

トークンの使用は、組織にとって予期せぬ多額のコストを発生させる可能性があります。

AIは開発サイクルの高速化を実現し、開発者がより価値の高い業務に集中することを可能にします。多くの企業にとって、こうした効率化は競争力を維持するために不可欠なものとなっています。したがって、課題はAIを導入するか否かではなく、いかに責任を持って導入するかという点にあります。開発者の教育、ガバナンス体制の構築、AIの可観測性、そして強固なセキュリティ管理に投資する企業こそが、リスクを抑えつつAIの恩恵を最大限に享受できるでしょう。

もはやAIモデルそのものを保護するだけでは不十分です。攻撃者は、開発ツール、ミドルウェア、オープンソースライブラリ、自動デプロイパイプラインなど、組織が日常的に利用するAIモデル周辺のソフトウェアエコシステムを標的にするようになっています。

これから詳しく見ていくように、世界各地でさまざまな動きがあり、国家間の協力も見られます。しかし、その道のりは決して一様ではなく、先行きも不透明です。特にビジネス環境においては、包括的な保護措置が整う前にAIの導入が義務付けられるケースも少なくありません。  

ある専門家によれば、AIのガードレールは「セキュリティ境界」として設計されているのではなく、行動を制御するためのものだといいます。しかし、その行動が業界パートナーへのハッキングであったとしたらどうでしょうか。

‍

サイバーセキュリティの専門家は、OpenAIのセキュリティ評価中にHugging Faceのインフラが侵害されたことは、自律型AIエージェントがもたらすリスクの転換点であると警告しています。このインシデントでは、AIモデルが管理されたテスト環境を逸脱し、AIプラットフォームに対して実際の多段階侵入を実行しました。

Secure Code Warriorが発表した調査によると、AIが生成したコードには、1つのコードベースあたり平均15件の脆弱性が確認されています。

フロンティアAIが広報上の危機に直面しています。7月16日にHugging Faceが自社の内部環境が自律型エージェントによって侵害されたとするブログ記事を公開した後、OpenAIは7月21日に投稿を行い、このインシデントはGPT 5.6 Solと「リリース前のモデル」が管理されたテスト環境から脱出した際に発生したものであると説明しました。

Secure Code Warriorの調査によると、AIが生成したコードには、コードベースあたり平均15件の脆弱性が含まれていることが明らかになりました。

‍

Secure Code Warriorは、AIコーディングセキュリティの動的なベンチマークである「SCW AI Trust Index」を発表しました。この指標は新しいモデルが登場するたびに更新され、組織がAI生成コードに伴うセキュリティリスクを把握し、管理する一助となります。オーストラリアのRMIT大学と共同開発した手法を基にSecure Code Warriorが拡張したこの調査では、主要なLLMがどの程度の頻度で脆弱なコードを生成するかを包括的にベンチマークしており、AI支援開発を拡大するあらゆる企業にとって重要な示唆を含んでいます。

AIが生成したコードには、コードベースあたり平均15件の脆弱性が含まれていますが、実際のリスクは使用するモデルよりも、どのフレームワークと組み合わせるかによって大きく左右されます。

新しい「SCW AI Trust Index」により、AIが生成するコードの脆弱性リスクはランダムではなく、モデルやフレームワークごとに予測可能であることが判明しました。これにより、セキュリティリーダーはAIを活用した開発を安全に拡大するためのデータを手に入れることができます。

AI導入に伴う課題、絶え間ないアップデート、そして業界の覇権争いが急速に激化する中、セキュリティ専門家は、その広大なリスクプロファイルの影響を最も強く受けている立場にあります。

オーストラリア政府は、AIが国の将来の国益に不可欠であると明言しています。では、現状はどうなっているのでしょうか。AIと現代企業におけるその役割について、業界の第一線で活躍する専門家たちの見解をご紹介します。

‍

エージェント型AIの台頭はソフトウェア開発における構造的な転換点であり、生産サイクルの加速だけでなく、人間の直接的な制御を超えて自律的な推論と実行を行うシステムの導入を意味しています。

AIが生成したコードが一般的になる中、CISOには、開発者の慣行を評価し、AIツールの利用を管理し、本番環境に影響が及ぶ前にソフトウェアのリスクを特定するための新たな監査戦略が求められています。

2026年、このカテゴリーはかつてない重要性を帯びています。その理由は、AIコーディングツールやエージェントの普及により、コードの記述量やデプロイ、テスト、プロビジョニングの頻度が劇的に増加しているためです。プラットフォームエンジニアリングは、この開発スピードの向上を「価値ある成果」に変えるか、それとも「混乱」を招くか、その分かれ目となる重要なレイヤーです。

ガートナーの最新レポートによると、シャドーAIや野良オートメーションの横行が、AIの脆弱性をさらに増大させています。同社は、業務で生成AIツールを利用するIT担当者の32%が、その利用をサイバーセキュリティチームに隠していると指摘しています。ローコード／ノーコードプラットフォームや「バイブコーディング（vibe coding）」といった手法と相まって、AIコパイロットは企業の攻撃対象領域を大幅に拡大させています。

本記事では、セキュリティおよびリスク管理のリーダーに向けて、「組織がAIリスクを認識していることを示すためだけのポリシー」と「真に企業リスクを軽減するポリシー」を分かつものは何か、という核心的な問いを投げかけました。

Secure Code WarriorのPieter Danhieux氏が語る、AI主導の開発におけるリスク管理

生成AIがエンタープライズソフトウェア開発の現場に定着する中、ある馴染み深い分野がかつてないほど重要性を増しています。それはリスク管理です。

Secure Code Warriorは本日、業界初となるガバナンスソリューション「SCW Trust Agent: AI」を発表しました。これは、ソフトウェア開発におけるAIの影響をコミットの時点で可視化、帰属化、強制可能にするよう設計されており、企業はソフトウェアリスクを測定可能な形で制御しながら、AIコーディングツールの導入を拡大できるようになります。

アジャイル手法の最も重要な要素を中心にSDLCを再構築し、DevSecOpsを重視したセキュリティ対策を慎重に組み込んだとしても、私たちが知るAppSecはこれで終わりなのでしょうか？

Global InfoSec Awards 2026：Secure Code Warriorがサイバーセキュリティ・リスク管理およびコンプライアンス・エクセレンス部門で優秀賞を受賞

新しいAIソフトウェアガバナンスソリューションにより、AIが生成したコードをコミット時に可視化し、本番環境へのデプロイ前にポリシーを適用することで、実際の開発行動と測定可能なリスク低減を結びつけます。

Secure Code Warrior（SCW）は今週、AIコーディングツールによって生成されたコードを識別し、適切なガバナンスポリシーを自動的に適用するAIエージェントを追加しました。