金融サービスにおけるデジタルトランスフォーメーションを支えるセキュアコーディングトレーニング

金融機関は、急速に進化する金融の世界において、テクノロジーを効率的かつ効果的に活用するという課題に直面しています。

組織は、競争の激しいクラウドベースのビジネス環境において、組織内外で急速な変化が起こる時代に直面しています。例えば、デジタルトランスフォーメーションを推進する中で、組織は以下のような課題の克服に取り組んでいます。組織的な摩擦これは、決済プロセスやその他の業務を加速させる可能性のある人工知能（AI）などの新技術への投資を妨げる要因となっています。

当然のことながら、常に念頭にあるのは、多岐にわたる規制要件への準拠です。財務記録管理に関するサーベンス・オクスリー法（SOX法）や、カード会員データを保護するためのPCI DSS（カード業界データセキュリティ基準）から、カリフォルニア州消費者プライバシー法（CCPA）やEU一般データ保護規則（GDPR）に含まれる個人情報保護に至るまで、その範囲は広大です。

コンプライアンス違反による罰金やその他のコストは、すぐに膨れ上がります。IBMのCost of a Data Breach Report 2023（2023年データ侵害コストレポート）によると、「コンプライアンス違反のレベルが高い」組織の平均コストは505万ドルに達しており、これは実際のデータ侵害の平均コストを50万ドル以上も上回っています。

データ侵害といえば、サイバー攻撃は依然として金融機関にとって大きな脅威であり、金融業界はサイバー攻撃の標的となる業界の第2位となっています。SophosのState of Ransomware in Financial Services2023年レポートによると、ランサムウェア攻撃だけでも劇的に増加しており、2021年の34%から2022年には55%、2023年には64%にまで達しています。また、Statistaによると、Statista米国の金融サービス業界におけるデータ侵害（データ漏洩や個人データの露出を含む）の件数は、2020年の138件から2023年には744件に増加しました。

業務効率、コンプライアンス、セキュリティのいずれかにおける失敗は、組織の評判を損ない、ひいては金融サービスの生命線である顧客の信頼を失うことにつながります。競争力を維持し成功を収めるためには、顧客との間に信頼関係を築く必要があり、その第一歩はソフトウェア、システム、プロセスを効率的かつ効果的にすることです。そのすべての核心にあるのが、セキュアなソフトウェアコードです。

開発者は、これまで以上に速いペースでアプリケーションやサービスを作成、更新、展開するというプレッシャーにさらされています。つまり、社内の開発者が書いたもの、AIが生成したもの、オープンソースのリポジトリから取得したもの、あるいはサードパーティから提供されたものなど、より多くのソフトウェアコードを扱い、開発しなければならないことを意味します。

そのコードの品質とセキュリティは、効果的な運用を保証するために不可欠ですが、組織がしばしば不十分な対応に終わってしまう領域でもあります。コードの量が増えるにつれて、ソフトウェア開発ライフサイクル（SDLC）の初期段階で修正されない限り、エラー、欠陥、脆弱性の数は増え続ける一方です。

組織は、よりセキュアなコードを作成し、早期にエラーを修正するために「シフトレフト」に取り組む必要があります。セキュアコーディングのベストプラクティスに関するアジャイルトレーニングは、安全で信頼性の高いアプリケーションの基盤を提供し、組織のリスクを軽減するだけでなく、ビジネスの成功を促進する助けとなります。

トレンド1：AI開発ツール

AIによるイノベーションはセキュアなコードにかかっている

人工知能、特に生成AIは、ビジネス、教育、そして日常生活のあらゆる場面で急速に普及しています。生成AIの数ある活用事例の中でも、特に注目されているのがコード生成です。これは一般的に有益であると証明されていますが、AI利用と密接に関わる「セキュリティ」という新たな課題も浮き彫りにしています。新しい技術のアーリーアダプターである金融機関は、生産性の向上と、AIの安全かつ責任ある利用との間でバランスを保つ必要があります。

現在、AIは修復プロセスの自動化といった用途よりも、主にコード開発の支援に活用されており、その影響は概ねポジティブなものです。GitHubによる調査によると、米国の開発者の9割以上がAIコーディングツールを利用しており、そのメリットとして、生産性の向上（53%）、反復作業から解放され創造的なタスクに集中できること（51%）、燃え尽き症候群の防止（41%）が挙げられています。

大手銀行をはじめとする金融サービス企業は、他業界と比べてAIを早期に導入する傾向が強くなっています。結局のところ、金融機関は大規模な技術投資を行う資金力があり、常に競争優位性を求めているため、本質的にはテクノロジー企業と言えるからです。

AIが人間の仕事を奪うのではないかという懸念の声もありますが、実際には人間と組み合わせることで、この技術は最大限の力を発揮します。しかし、開発者がAIを使いこなすには、単なるチェックリスト形式の対応では不十分です。精密なトレーニングを通じて、現実の環境におけるセキュリティのベストプラクティスを深く理解する必要があります。そうすることで、開発者自身が安全なコードを書けるようになるだけでなく、AIアシスタントが生成したコードを適切に監督できるようになります。

例えば、SCWのトレーニングでは、LLM（大規模言語モデル）に対して、実際のコードスニペットの内容を変更し、機能を修正するよう指示する演習があります。AIはそれに応答してコードブロックを生成しますが、そのブロックにはクロスサイトスクリプティング（XSS）の脆弱性が含まれています。このトレーニングにより、開発者はその脆弱性を確実に認識できるようになります。

AIと開発者は非常に生産的に協力し合えますが、それはAIが生成するコードの安全性を確保できるほど、開発者が十分に訓練されている場合に限られます。

AIのコーディングミスは急速に拡散する恐れがあります

AIモデルは、物語や詩を書くために膨大な文章を学習するのと同様に、コードを書く際にも数千ものコード例を学習します。しかし、その学習データの中にエラーが含まれていないという保証はありません。AIモデルのプロセスは不透明であるため、エラーは事後的にしか判明しません。そして、修正されない限り、AIはそのエラーを繰り返してしまいます。

AI研究者による初期の調査では、AIが生成したコードには、クロスサイトスクリプティング（XSS）の脆弱性やコードインジェクション攻撃への耐性の欠如、さらにはプロンプトインジェクションに関連するものなど、AI生成コード特有の新たな脆弱性といった重大な欠陥が含まれていることが判明しました。もしAIツールをチェックなしでコード生成に使用すれば、不適切なコードが急速に拡散し、ただでさえ多くの脆弱性を抱えるソフトウェアの世界が、これまで以上に危険な状態に陥る可能性があります。

人間とAIが協力してコードを開発し、セキュアコーディングのベストプラクティスを遵守することが不可欠です。これにより、金融機関はスピードと効率性の向上という恩恵を享受しつつ、人間の関与なしには壊滅的な結果を招きかねないリスクを抑えることができます。

金融機関はセキュアな開発を牽引できる

AI、特にChatGPTのような大規模言語モデル（LLM）や、独自のコンテンツを生成できる数多くの生成AIの実装は急速に成長していますが、その過程で失敗も生じています。AIモデルは誤った情報や偏った結果を生成し、AIのハルシネーション（幻覚）を引き起こしており、規制を求める声が高まっています。例えば、ホワイトハウスは大統領令を発令し、AIの開発と利用について指針を示しました。また、AI権利章典を提案し、AIに関連するリスクから市民を保護しようとしています。しかし、政府のどのような取り組みも、AIを開発するテクノロジー企業との協力と連携が不可欠であり、多くの企業が倫理基準の遵守米国の金融サービス業界におけるデータ侵害（データ漏洩や個人データの露出を含む）の件数は、2020年の138件から2023年には744件に増加しました。

金融サービス業界もまた、強力な内部統制を導入する可能性が高いでしょう。組織は常に競争優位性を求めていますが、内部データや顧客データを含む情報のセキュリティが最優先事項であることを理解しています。また、米国通貨監督庁（OCC）や欧州中央銀行（ECB）の欧州事業向け規制など、規制要件を確実に満たす必要があります。

AIの早期導入者として、銀行や金融機関はAIによる効率化に関心を寄せており、イノベーションハブへの出資などを通じてAIの可能性を模索しています。しかし、組織にはセキュリティを確保するための統制も必要です。早期導入には常にリスクが伴うため、AIの利用拡大に合わせてリスクとリターンのバランスを取らなければなりません。例えば、AI導入の初期段階でSWOT分析（強み、弱み、機会、脅威の分析）を行うことは、組織にとって有益です。

AIの有効活用はセキュアなコードから始まる

金融業界がAIを有効活用できるかどうかはセキュリティにかかっており、そのためにはAIが生成するコードが最初からセキュアであることを保証しなければなりません。組織は、AIによるコード作成を厳密に監督し、エラーを特定して迅速に修正できる高度な訓練を受けたエンジニアを確保する必要があります。アジャイルベースのトレーニングやセキュリティとコンプライアンスを確保するサービスを提供する企業と提携することは、強固なセキュリティ体制を構築するための第一歩となります。

リスク環境は、特にソフトウェア開発サイクルにおいて絶えず変化しています。AIの早期導入者である金融機関は、AIの安全かつ責任ある利用をリードする存在でなければなりません。一部の金融機関は政府の政策に影響を与えるほどの規模を持っています。AIモデルと開発者が連携してセキュアなコードを確保する取り組みを行うことで、他業界が追随すべきベストプラクティスを確立できるでしょう。

Integrations

You can learn more from SCW’s whitepaper explaining the role AI can play in code writing and why it’s essential that developers are thoroughly trained in recognizing secure coding patterns and the vulnerabilities that result from unsecure code.

Download Whitepaper

‍トレンド2：規制の強化

コードは規制コンプライアンスの中核にある

セキュアなコーディング慣行を導入する重要な動機は、金融機関が事業を統括する規制への準拠を確実にする必要があるためです。金融機関には、取り扱う取引の種類に応じて、適用されるさまざまな規制が存在します。

例えば、PCI DSS 4.0は、クレジットカードや決済カードのデータおよび取引を保護するために策定された世界的な基準である「Payment Industry Data Security Standard（PCI DSS）」の最新版です。不正行為や悪用を防止することを目的としており、カード会員データを保存、処理、または送信するすべての組織に適用されます。この基準自体は法律ではありませんが、契約を通じて強制力を持っており、GDPRなどの他の規制に違反するデータ侵害を未然に防ぐ役割を果たします。

もう一つの規制であるデジタルオペレーショナルレジリエンス法（DORA）は、金融サービスセクターを対象としたEUの拘束力のあるリスク管理フレームワークであり、金融機関だけでなく、そのサードパーティプロバイダーも対象としています。DORAは、EU内でのリスク管理慣行を統一し、普遍的な基準を確立するための技術的基準を定めています。

その国際銀行間通信協会（Swift）は、世界の金融セクターにおける資金送金の基準を確立した共同組織です。Swiftの顧客セキュリティプログラム（CSP）は、顧客セキュリティ管理フレームワーク（CSCF）を策定しており、これは毎年更新されています。200カ国以上の11,000を超えるSwift加盟組織は、CSCFを使用して独自のセキュリティ管理を計画し、コンプライアンスレベルを証明しています。

これらの規制に共通しているのは、金融サービス業界におけるデータと取引を保護するために高い基準を設けようとしている点です。コンプライアンスを遵守することは、顧客のデータや資産を守るだけでなく、不十分なセキュリティに起因する罰金や制裁、レピュテーションリスク、さらには侵害発生時の投資家からの信頼喪失といった事態から組織を守ることにもつながります。

開発者は変化し続ける規制環境に対応しなければならない

セキュアコーディングは、適用される規制や、米国の通貨監督庁（OCC）や欧州中央銀行（ECB）の要件を満たそうとする組織にとって、強固な基盤となります。Secure Code Warriorなどのプラットフォームを採用する根本的な目的の一つは、実践的で魅力的な環境を通じて、開発者にセキュアコーディングを習得させることにあります。

こうしたトレーニングは、複雑な規制要件に対処する際に大きな違いを生みます。特に規制は静的なものではなく、常に進化し、より高度な要件が追加され続けているためです。要件の内容にもよりますが、規制が毎年劇的に変わることはなくても、数年ごとに大きな変更が行われることを想定しておく必要があります。

例えば、2024年4月1日から義務化されたPCI DSS 4.0は、2022年にリリースされたPCI DSS 3.2.1をいくつかの重要な点で更新しています。チェックリスト形式の手順よりも成果に重点を置き、組織が要件を満たすための柔軟性を高める「カスタマイズされたアプローチ」を導入しました。また、認証管理、パスワードの長さ、共有アカウントに関する新たな要件など、多くの更新が含まれています。さらに、各要件を満たすための役割と責任を明確に定義することも組織に求めています。

重要な点として、バージョン4.0では、特注ソフトウェアやカスタムソフトウェアの開発に携わる開発者に対し、少なくとも12ヶ月に1回、ソフトウェアセキュリティに関するトレーニングを受けることを義務付けています。これには、セキュアな設計やコーディング技術、またテストツールを使用する場合は、そのツールを使って脆弱性を検出する方法などが含まれます。さらに、ペネトレーションテストで特定されたすべての脆弱性は、その深刻度にかかわらず修正しなければならず、修正が成功したことを確認するために2回目のペネトレーションテストを行うことも規定されています。

規制の変更は通常緩やかに行われますが、イベント主導型である側面もあります。大規模な侵害が発生すると、突然広範囲な変更が促されることがあります。例えば、1990年代半ばに発生したJPモルガン・チェースの8,700万件のアカウント侵害は、規制環境を揺るがしました。規制当局は開発者や技術コミュニティに対する期待値を引き上げ、銀行に対して、どのような対策を講じているか、また侵害から得た教訓をどのように適用しているかの証明を求めるようになりました。

コンプライアンスは基盤となるコードの品質に左右される

これらの要件を満たすために使用されるコードの品質は、新しい機能のパフォーマンスに大きな影響を与えます。また、企業が毎年提出を義務付けられている詳細な「PCI DSSコンプライアンスレポート」を作成する際にも重要となります。規制が複雑化するにつれ、セキュアコーディングの影響力は比例して大きくなっており、リスクを低減し、組織のソフトウェアに対する管理能力を高める上で決定的な役割を果たしています。

金融機関にとってコンプライアンスは、顧客との信頼関係を築く上で不可欠です。また、セキュアコーディングは顧客体験の向上にも寄与します。信頼性の高いソフトウェアとのシームレスなやり取りが顧客ロイヤルティの構築に直結するためです。

新しいアプリケーションやサービスを作成するためのコーディングは、企業全体に影響を及ぼします。これは、変化の激しいビジネス環境において、効率性を高め、クラウド移行を管理し、その他の機能を有効にするために不可欠です。しかし、ビジネスを成功させるためには、コードが確実にセキュアであり、コンプライアンス要件を満たしていることが絶対条件となります。

Integrations

Read the no-nonsense guide to getting your development team on board with PCI DSS compliance, including how security professionals and development managers can work together to build powerful security programs.

Read Guide

トレンド3：アジャイルラーニング

アジャイルトレーニングとAIとの協働がセキュアなコードを実現する

AIモデルの普及により、AIが人間の仕事を奪うのではないかという懸念が再燃しています。経理、カスタマーサービス、法務事務、コンテンツ制作など、一部の職種では不安を感じる理由があるかもしれませんが、ソフトウェア開発者にとってAIは仕事を奪う存在ではなく、コーディングのような時間のかかる反復作業を肩代わりしてくれる頼もしいアシスタントとして歓迎される可能性が高いでしょう。

実際、コーディングは開発者の仕事の一部に過ぎません。GitLabの2023年版グローバルDevSecOpsレポートによると、開発者の大半は、コーディングに費やす時間は全体の約4分の1であると回答しています。残りの時間は、コードの改善（17%）、テスト（11%）、会議やその他の管理業務（同じく17%）などに費やされています。

AIモデルがコードを生成するようになれば、コードの改善という作業の重要性がさらに高まるでしょう。AIはコーディングのスピードと効率を向上させますが、生成されたコードを完全に信頼することはできません。AIモデルが生成するコードには、エラーやバイアス、脆弱性が含まれている例が数多く存在します。セキュリティの専門知識を持つ開発者が、AIが生成したコードを綿密にチェックし、脆弱性を修正して、ソフトウェアが開発基準に準拠していることを確認する必要があります。

開発者には実践的なアジャイルトレーニングが必要

開発者自身がAI生成コードを扱うには、セキュリティのベストプラクティスに関する既存のスキルを磨き、新たなスキルを習得して、不適切なコーディングパターンを見抜く能力を養う必要があります。適切なトレーニングを受けた開発者であれば、デプロイ前にAIモデルのミスを見抜き、AIを活用して開発を加速させるメリットを最大限に引き出すことができるでしょう。

しかし、求められるスキルは複雑であり、従来の静的なトレーニング手法だけで習得・強化することはできません。開発者は多忙であり、コードを迅速に開発・デプロイするというかつてないプレッシャーにさらされています。そのため、日々の業務に支障をきたすことなくスキルを向上させられる環境が必要です。

組織は開発者に対し、アジャイルベースのトレーニングという包括的なプログラムを提供する必要があります。これは、セキュアコーディングに対して実践的なアプローチを取り、ソフトウェアの脆弱性を大幅に削減できることが実証されているものです。

アジャイルトレーニングは、古くから使われているCOBOLからGoogle Goで書かれた最新のツールまで、開発者が扱うあらゆるプログラミング言語に合わせてカスタマイズ可能です。また、視覚、聴覚、言語、あるいは直接的なハンズオンなど、開発者が好む学習方法に適した形式で高度なコンテンツを提供し、個々の開発者のスケジュールに合わせて最適なペースで進められるよう設計できます。

トレーニングは、従業員の特定の役割やニーズに合わせて調整することも可能です。プラットフォームのフィードバックループを活用すれば、コンテンツを改善できるだけでなく、開発者が苦手とする分野を特定し、その分野を補強するためのコンテンツを自動的に提供することもできます。

また、退屈で長時間の座学形式のセキュリティトレーニングを行う代わりに、Secure Code Warriorなどが採用している学習プログラムでは、現実の問題をコンテキストに取り入れたインタラクティブなマイクロラーニング形式で、最適化されたカスタマイズトレーニングを提供します。このマイクロラーニングは、従業員が必要な時にいつでもアクセス可能です。

アジャイルアプローチが成果を生む

アジャイルベースのトレーニングは、コーディングエラーの削減に効果的であることが証明されています。Secure Code Warriorによる調査によると、開発者は本番環境にコードをリリースする前に、すでにコードの約26%を修正しています。これは開発者1人あたり週に約13.5時間（年間約700時間）を技術的負債の解消に費やしている計算になります。コードの修正に費やされる時間は生産性を阻害し、開発サイクルを遅延させる要因となっています。

こうしたミスがすべて見つかるわけではなく、開発者の67%が脆弱性を含むコードをリリースした経験があると認めています。組織はAI、オープンソースリポジトリ、サードパーティなど、外部ソースのコードも利用しています。これらのソースは、組織がかつてないほど大量のコードを必要とする時代において生産性の向上に寄与しますが、同時にコードベースにおける脆弱性やエラーのリスクも高めています。

アジャイル型トレーニングは、こうした傾向を食い止める助けとなります。これは防御の第一線を強化するもので、開発者は自身で作成したコードであれ、AIやサードパーティが作成したコードであれ、コード内の欠陥を見抜くスキルを向上させることができます。Secure Code Warriorは調査の一環として、7万5,000人の開発者（同社ベースの約30%）のデータを分析し、同社のアジャイル型トレーニングでセキュリティを学んだ開発者は、そうでない開発者と比較して脆弱性の混入が53%少ないことを明らかにしました。これらのスキルをAI生成コードのチェックに応用することで、開発者はソフトウェアが本番環境に移行する前に、AIパートナーのミスをより迅速に修正できるようになります。

財務、人事、学生・教職員のライフサイクル管理クラウドアプリケーションを提供するWorkdayの開発チームは、Secure Code Warriorのアジャイル型トレーニングを通じて、トレーニングの目的を明確に理解し、コードベースやソフトウェアライフサイクル内の問題を特定して対処する方法を短期間で習得しました。

Workdayの事例は、アジャイルな実践的トレーニングがもたらす効果を明確に示しています。Secure Code Warriorと提携する前、Workdayの開発者は、同社が実施していたスライドショー形式のセキュリティトレーニングに不満を抱いていました。しかし、開発者コミュニティ全体が、彼らのニーズと学習の好みに合わせてカスタマイズされたSecure Code Warriorのトレーニングを高く評価しました。その結果は一目瞭然です。ある事例では、ダブリンのチームが年間4,662件発生していたセキュリティ問題を、わずか18か月でゼロにまで減らすことに成功しました。

ますます巧妙化する攻撃が横行する脅威環境において、金融サービス企業はデータとアプリケーションの安全を確保するためにあらゆる手を尽くす必要があります。ソフトウェア開発ライフサイクル（SDLC）の初期段階でセキュアなコードを作成することは、セキュリティの極めて重要な要素です。適切なアジャイルトレーニングを受けた開発者は、ソフトウェアの安全性を確保し、企業全体のリスクを軽減するために大きな役割を果たすことができます。

Integrations

Learn how Workday focused on creating secure agile learning that drove developer engagement and helped achieve their goals of improving Workday’s overall security posture.

Learn More

トレンド4：サードパーティ製アプリとAPIの増加

セキュリティの責任はサードパーティ製アプリにも適用される

今日の超接続型ビジネス環境において、単独で運営されている企業は存在しません。金融機関は特定のサービスを提供するために他社と提携し、日常の通信や取引でサードパーティ製アプリを利用しており、多くの場合、外部の請負業者がソフトウェアコードを記述しています。企業内の開発者も、アプリケーション開発においてオープンソースのソフトウェアリポジトリや、AI生成コードをますます活用するようになっています。

ソフトウェアのソースが何であれ、金融サービスを利用する人々は、使用するすべてのアプリケーションが同等の高いセキュリティレベルを備えていることを期待しています。どのような取引や情報交換においても、ホスト企業は顧客データに対して責任を負います。また、規制当局は、コンプライアンス違反の責任をサードパーティに転嫁することを認めていません。

金融機関はどのようにしてすべてのアプリケーションの安全性と信頼性を確保すればよいのでしょうか。それは、セキュアなコードから始まり、開発プロセスにおいて開発者がセキュアなソフトウェアコードを作成するために必要なスキルを身につけさせると同時に、使用しているサードパーティ製コードの不備を特定できるようにすることから始まります。

請負業者チームにもトレーニングの機会を提供する

企業は、セキュアなコードについて開発者に教えるためのアジャイルな実践的トレーニングプログラムを導入することで恩恵を受けるでしょう。その効果は明らかで、セキュアコーディングのトレーニングを受けた開発者は、受けていない開発者よりも脆弱性の混入が53%少ないコードを作成します。また、サードパーティが生成したコードに含まれるコーディングミスを見抜く能力も高まります。

たとえ自社の開発者がセキュアなコードの書き方を学んでいたとしても、サードパーティ製コードに潜む欠陥に対処する必要があります。多くの開発チームは、正社員（FTE）と請負業者の両方で構成されています。特に、国内外の主要拠点や二次・三次拠点にまたがる大規模な組織ではその傾向が顕著です。

20年ほど前、新しいアプリケーションへの需要に対応するため、ソフトウェア開発を外部委託する動きが業界で大きく加速しました。その傾向は5〜10年続いた後に揺り戻しが始まりましたが、金融機関の拠点によっては、現在も正社員と請負業者の混成チームが残っています。絶えず多くのアプリケーションが開発されている現状では、その一部が外部委託されることは避けられません。

しかし、コードが正社員によって開発されようとサードパーティによって開発されようと、顧客や規制当局の期待は変わりません。企業が使用するすべてのソフトウェアコードは同じ基準を満たす必要があり、それはすべての開発者が同等の能力を備えていなければならないことを意味します。

企業によっては請負業者へのトレーニング義務付けに契約上の制限があるかもしれませんが、少なくともトレーニングを受けられる環境を整えることは重要です。一部の金融企業は独自のトレーニングプログラムを作成しており、例えばCapital Oneは以下を立ち上げました。Tech Collegeを2016年に開設しました。Synchrony BankやNorth American Bancardなど、他の多くの銀行や金融企業も、アジャイルな継続的学習という考え方を取り入れ、人材のレベル向上を図っています。

企業によっては「コーディングライセンス」制度を導入し、特定のシステムへのアクセスを許可する前に、開発者に一定の認定資格の取得を義務付けるようになる可能性もあります。

IT人材が不足する中、企業は供給の限られた市場で人材を奪い合うよりも、既存社員のスキルアップを図る道を選んでいます。トレーニングの提供は、キャリアアップを目指す従業員にとっても、必要なスキルを持つ人材を確保できる企業にとっても有益です。また、トレーニングプログラムは従業員体験を向上させ、離職防止にもつながります。

現代の環境において、継続的な学習は不可欠です。サイバーセキュリティを取り巻く状況は絶えず進化し、高度化しています。さらに、規制当局の要件も年々変化しており、コンプライアンスを維持するための複雑さが増しています。これらの要件を満たせなければ、罰金やその他のコストが発生するだけでなく、企業の業績に重大な影響を及ぼすレピュテーションリスクにもつながりかねません。

重要なのは、開発者を巻き込むことです

企業は、年1回の研修で済ませるような負担の大きい「形式的なコンプライアンス研修」から脱却し、開発者やその他の従業員がセキュリティに対してより深く関与できるよう、年間を通じたトレーニングへとシフトしています。鍵となるのは、従業員が必要な時に必要なトレーニングを、彼らの作業環境に適した形式で提供できるアジャイルなプラットフォームの活用です。

例えば、英国を拠点とするソフトウェアソリューション企業であるSageは、Secure Code Warriorのプラットフォームを採用し、開発者がその時々で取り組んでいる技術に合わせた四半期ごとのトレーニングを実施しています。

Sageのセキュリティスペシャリストであるマッズ・ハワード氏は、最近のウェビナーの中で、トレーニングは可能な限りパーソナライズされ、開発者が好む作業スタイルに合わせて調整されていると語りました。同社はフィードバックループを通じて双方向のコミュニケーションも促進しています。トレーニングは形式的なコンプライアンスよりもエンゲージメントに重点を置いており、定期的なトーナメントの開催や、セキュリティ問題に対する従業員の関心を高めるための社内施策とトレーニングプログラムを連動させる取り組みを行っています。

その結果、Sageでは過去1年間でソフトウェアの修正にかかる平均時間が82%短縮されたとハワード氏は述べています。また、従業員のエンゲージメントも向上しました。

コーディングはセキュリティ文化を構築する一部であり、最終的な目標は顧客との信頼関係を築くことにあるとハワード氏は言います。セキュリティ文化は人々の態度、認識、信念を中心に形成されるものであり、経営陣を含む全社的な関与が不可欠です。ターゲットを絞ったトレーニングを短時間で手軽に提供できる柔軟なセキュアコーディング研修プログラムは、そのような文化を醸成する上で重要な役割を果たします。

Integrations

Discover how Sage implemented best practices in building a secure code learning program, learn the do's and don'ts of a secure code learning program, and see the business and financial impacts including productivity gained and time saved.

Discover

‍トレンド5：チームおよびベンダー全体でのROIへの注目の高まり

セキュアコーディングが投資収益率（ROI）に直接もたらすメリット

金融サービス業界は、銀行や資産運用からクレジットカード、デジタル決済サービスに至るまで、幅広い分野を網羅しています。保険業界もこの枠組みに含まれることが一般的です。各分野の企業は、取り扱う取引の内容や、国内企業か多国籍企業かによって、重複しつつもそれぞれ異なるコンプライアンス要件に直面しています。

しかし、どの分野の企業であっても、経済情勢はビジネス戦略に影響を与えます。株式市場は好調ですが、それが将来の成功を常に保証するわけではありません。一方で、金融セクターでは景気後退の可能性やその他の重大な課題に対する懸念も根強く残っています。

その結果、多くの組織がコスト削減を推し進め、効率性を追求し、新たな支出に対しては高い投資収益率（ROI）を求めるようになっています。ROIを高める一つの方法は、セキュアコーディング学習への投資です。エンジニアリングとセキュリティが交差するソフトウェア開発ライフサイクル（SDLC）において、プロセスの初期段階でセキュアなコードを作成し、欠陥を可能な限り早期に修正することは、ビジネスにとって明確かつ定量的な利益をもたらします。

セキュアでないソフトウェアがもたらす高額なコスト

データはあらゆる金融機関の中核であり、セキュアでない非効率なソフトウェアでそのデータを扱うことによるコストは急速に膨れ上がります。Secure Code Warriorの調査によると、2022年の米国企業におけるソフトウェア品質問題による損失額は合計2.41兆ドルに達しました。このコストは開発者にも及んでおり、技術的負債の維持や修正に費やす時間は増加の一途をたどっています。現在、開発者は業務時間の約3分の1を技術的負債の解消に費やしていますが、2025年にはこれが40%に達すると予測されています。

アジャイル手法に基づいたセキュアコーディングの実践トレーニングは、こうした損失を大幅に削減する効果があります。Secure Code Warriorでトレーニングを受けた開発者は、受講していない同僚と比較して脆弱性の混入率が53%低く、修正時間も半分に短縮されることがわかっています。ある世界的な大手銀行では、SCWのトレーニング導入により脆弱性が50%減少し、SQLインジェクションやクロスサイトスクリプティング（XSS）の欠陥をほぼ完全に排除できました。

アジャイルなセキュアコーディングトレーニングの利点は、組織が「シフトレフト」を推進するほど顕著になります。例えば、技術的負債のコストはテスト段階で対処すれば半分に抑えられますが、コーディング段階で対処すれば14倍もの削減効果が得られます。

事例：Envestnetにおける開発者の巻き込み

セキュアコーディングの影響は、ROI（投資利益率）の測定可能な向上につながります。ある事例では、大手フィンテック企業であるEnvestnetが、OWASP（Open Worldwide Application Security Project）のWebアプリケーションリスク上位10項目を中心とした、従来の受動的で退屈なセキュリティおよびコンプライアンス研修からの脱却を目指しました。

Envestnetは、セキュアなコードの記述とSDLC（ソフトウェア開発ライフサイクル）の早期段階での問題解決に重点を置く「シフトレフト」戦略を採用しました。しかし、まずは開発者が既存のセキュリティ研修に興味を持てないという課題を解決する必要がありました。そこで同社はSCWを導入し、実際のシナリオに基づいた4段階の実践型プログラムを実施しました。各レベルの達成に応じて開発者に認定証を授与することで、アプリケーションのセキュリティ向上だけでなく、開発者のキャリアアップも支援しました。

最初の2レベルはセキュリティ意識の向上に焦点を当て、レベル3と4ではセキュリティチャンピオンを認定しました。トレーニングプログラムにはトーナメントも組み込まれ、開発者の参加意欲をさらに高めました。約6か月間隔で開催された最初の2回のトーナメントでは、参加者数が倍増しました。

その結果、SCWのトレーニングを受けた開発者は、受けていない同僚と比較して2.7倍多くの脆弱性を修正し、修正率を120%向上させました。また、SCWで学んだ開発者は、トレーニングを受けていない開発者が1人あたり1.82件の脆弱性を修正したのに対し、1人あたり4.5件の脆弱性を修正しました。

シフトレフトが収益を改善する

アジャイルなセキュアコーディングプログラムは、提供する金融サービスの形態、システム規模、個別の要件に応じて、各企業に合わせてカスタマイズ可能です。

企業は、PCI DSS（クレジットカード業界のデータセキュリティ基準）やOWASP ASVS（アプリケーションセキュリティ検証基準）などの要件を遵守し続ける必要があります。また、常にセキュアなコードを記述することも不可欠です。しかし、単にチェックリストを埋めるだけの研修では不十分です。セキュアコーディングの手法を習得し、高度な訓練を受けたセキュリティ意識の高い開発者を育成することで得られる効率性の向上にはつながりません。

SDLCの早期段階からセキュアなコードを導入し、製品ライフサイクル全体を通じて維持する戦略を支える実践的なトレーニングは、リスクを軽減し、市場投入までの時間を短縮し、必然的にROIを向上させます。システムやプロセス、そしてサイバー攻撃がますます巧妙化する中、セキュアコーディングは切実に求められています。それはセキュリティ面だけでなく、組織の収益性にも決定的な違いをもたらす力を持っています。

Integrations

Explore how Envestnet adopted an agile secure code learning platform and tripled developer effectiveness in vulnerability reduction.

Explore

結論

セキュアコーディングはセキュリティと生産性を高め、信頼を築く

金融機関は、人々の資産や極めて機密性の高い個人情報という非常に価値のあるものを取り扱っていますが、組織にとって最も貴重な資産は「信頼」です。これは顧客を惹きつけ、関係を維持するために不可欠です。多くの金融取引がデジタル化されている現在、その信頼性とソフトウェアの安全性は、セキュアなソフトウェアコードにかかっています。

複雑なハイブリッドクラウド環境において、金融機関はシフトレフトを推進し、SDLCの開始段階からセキュリティを組み込む必要があります。つまり、開発者がセキュアなコードを書けるように教育し、AIが生成したコードやサードパーティ製コードに含まれる脆弱性を特定できるようにすることが重要です。

これは多くの企業にとって文化的な変革を意味します。開発者はこれまで、高まる需要に応えるために、猛スピードで新しいアプリケーションやサービスを立ち上げることに慣れてきたからです。鍵となるのは、社内にセキュリティ文化を醸成し、アジャイルな実践型セキュアコーディングトレーニングを通じて開発者を巻き込むことです。このアプローチがもたらすメリットは明らかです。

Win-Winの文化変革を促進する

Secure Code Warriorの調査によると、SCWでセキュアコーディングの実践を学んだ開発者は、トレーニングを受けていない開発者と比較して脆弱性を53%削減できることが判明しました。これは、大幅な時間とコストの節約につながります。

現在、開発者は時間の約3分の1をコードの修正に費やしており、67%が脆弱性があると認識しながらコードをリリースした経験があると認めています。SCWの顧客は、アジャイル学習の結果として、リスク削減と開発者生産性の両面で2倍から3倍の向上を実現しています。

SDLC（ソフトウェア開発ライフサイクル）のより早い段階で対策を講じるほど、コスト削減効果は高まります。テスト段階で対処すればコストを半分に削減できますが、コーディング段階で対処すれば14倍もの削減が可能です。

アジャイル型のトレーニングプラットフォームは、企業と開発者の双方に利益をもたらします。開発者は新しいスキルを習得してキャリアを前進させることができ、企業は、効果的なトレーニングとやりがいのある職場環境を提供する企業に優秀な開発者が定着しやすくなるという恩恵を受けられます。

ちなみに、開発者の92%が「もっとトレーニングを受けたい」と回答しています。しかし、重要なのは適切なトレーニングであることです。従来の教科書的（あるいはスライドショー形式）なコンプライアンス研修では、開発者はうんざりし、義務だから仕方なく受けるという態度になりがちです。しかし、SCWのようなアジャイルプラットフォームは、開発者の意欲を引き出すことが実証されています。トレーニングは、開発者が現在取り組んでいるプロジェクトや使用しているプログラミング言語に合わせてカスタマイズ可能です。また、開発者が直面している現実の課題に対応した、短時間で習得可能なマイクロラーニング形式でトレーニングを提供することで、その価値とエンゲージメントレベルが高まります。

セキュアコーディングのトレーニングは、セキュリティを最優先する組織へと文化を変革するための要となり、金融機関のサイバーセキュリティ、パフォーマンス、そして最終的には収益性を向上させます。