AIの導入スピードに準備が追いついていません。そのギャップを埋めましょう。

今週、Secure Code Warriorは設立8周年を迎えました。この8年という月日は、アポロ11号のミッション期間の350倍、サッカーの試合なら45,000回分、あるいは『スーパーマリオ オデッセイ』を5,696回クリアする時間に相当します。一方で、ゾウガメの寿命（ちなみに250年です）のわずか30分の1に過ぎません。急成長を遂げるスタートアップの世界において、この8年は多くの紆余曲折や学び、そして達成の連続でした。その多くは、創業時に事業計画書を書き始めた頃には想像もできなかったことです。

Secure Code Warriorでは、開発者や組織が今日の絶え間なく変化するセキュリティ課題に取り組むための適切なスキルを身に付けることができるように、常に革新を続けています。ソフトウェア開発サイクルの開始時に、開発者主導のセキュリティを通じて組織がソフトウェアを保護できるように、プラットフォームの主な機能と更新、および今年公開されたリソースとガイドラインをまとめました。

テクノロジースタックや追加のトレーニングプログラムへの投資において、誰もが優れた投資収益率（ROI）を求めています。しかし、セキュリティに関しては、単純なROIの計算を超えた長期的な視点が必要です。開発者主導のセキュリティへの投資が、高額な侵害コスト、生産性の低下、蓄積された技術的負債を削減するだけでなく、今日の脅威環境を先取りするための先見的かつ費用対効果の高い戦略をどのように構築するかを学びましょう。

SolarWinds事件のような大規模なセキュリティ侵害を受け、開発者主導のセキュリティ対策を強化する動きが加速しています。この事件では、人気の管理ソフトウェア「Orion」のアップデートプロセスが悪用され、大手企業や政府機関を含む1万8,000以上のユーザーが感染しました。あらゆる規模の組織が「ソフトウェアサプライチェーン」を問い直し、ソフトウェアを開発するエンジニアに検証済みのセキュリティスキルと意識を求めるようになっています。

堅牢な技術スタックの重要性は誰もが認めるところです。コード内の脆弱性を発見・修正する際、修復までの平均時間（MTTR）を短縮し、信頼性の高い堅牢なソリューションを活用することが、Secure Code Warriorの統合機能が目指すゴールです。開発者のワークフローにマイクロラーニングの要素を組み込むことが、より良い学習と迅速な修復を実現する鍵となります。

今日、ほぼすべての開発チームが何らかのコンプライアンス研修を取り入れています。これは、企業が業界のフレームワークや政府の規制を遵守していることを保証するための初期認定プロセスの一環であったり、年次要件やレビューの一環であったりします。組織が基本的なコンプライアンス要件を満たせなければ、従業員は現実的に業務を遂行することができないため、これは重要なステップです。

開発者が脆弱性を削減し、良い影響をもたらすためには、脆弱性の仕組み、危険性、発生原因となるパターン、そしてそれらを修正するための設計やコーディングのパターンを、彼らの実務に即した文脈で根本から理解する必要があります。段階的なアプローチを取り入れることで、知識を積み重ね、セキュアなコーディング、コードベースの保護、そしてセキュリティ意識の高い開発者として自立するために必要な全体像を把握できるようになります。

2022年版Gartner Cool Vendors in Software Engineeringにおいて、開発者のセキュリティスキルの重要性が強調されています。詳細およびレポート全文はこちらからご覧ください。

デジタルビジネスを推進するソフトウェア、アプリケーション、プログラムを生み出す開発者は、今や多くの組織にとって生命線となっています。現代のビジネスのほとんどは、競争力のあるアプリケーションやプログラムなしでは、また、Webサイトやその他のインフラへの24時間体制のアクセスなしでは、（収益を上げながら）機能することはできないでしょう。

最近、セキュリティ研究者チームが、Pythonのtarファイル展開機能に15年前から存在するバグを発見したと発表しました。この脆弱性は2007年に初めて開示され、CVE-2007-4559として追跡されていました。公式のPythonドキュメントには注意書きが追加されていましたが、バグそのものは修正されないまま放置されていました。