文化としてのセキュリティ。ブループリズムが世界に通用するセキュアな開発者を育てる方法

背景

Blue Prismは企業向けインテリジェントオートメーションのグローバルリーダーであり、組織の俊敏性、効率性、競争力の維持を支援する最先端のソフトウェアとツールを開発するエキサイティングなハイテク企業です。20年にわたり、Blue Prismは、世界最高レベルの画期的な企業が、グローバルな課題やビジネス上の課題に対応しながら、迅速なイノベーションを実現できるよう支援してきました。現在、Blue Prismは急速に成熟し、次の段階へと移行しています。

Blue Prismのシニア アプリケーション セキュリティ エンジニアであるMaria Morrisは、羨望の的である一流のセキュリティ プログラムを維持するために最前線で活躍しています。セキュリティのベストプラクティス、部門を超えたコラボレーション、意識向上といった強力な文化を維持するための彼女の献身的な努力は、組織内でセキュアなソフトウェアを効率的に展開する上で中心的な役割を果たしています。彼女のイニシアティブの一環として、Maria は、実世界のコードを使用して、セキュリティ意識とセキュアコーディングスキルを構築するために開発コホートを鼓舞し続けることができるハンズオントレーニングソリューションを求めていました。

課題

Blue Prismはお客様の成功を第一に考えています。最先端のAIを導入したロボティック・プロセス・オートメーション（RPA）だけでなく、セキュリティにも力を入れており、Global 2000の多くの企業が同社の製品とサービスに信頼を寄せているのも不思議ではありません。もちろん、この信頼には大きな責任が伴い、あらゆるプロセスや意思決定の最前線にセキュリティを置く必要がある。

PCI-DSS、HIPAA、FISMA、FIPSといった法規制のセキュリティ・コンプライアンスを確保する必要がある中、OWASP Top 10やSANSTop 25 Most Dangerous Software Weaknesses（CWE）で紹介されている一般的でありながら強力な脆弱性を緩和できることは不可欠である。これを効果的に行うには、セキュリティに精通した従業員に次のような能力を与える必要がある。

「私たちは、セキュリティーを第一に考える人材を採用することに長けています。ミーティングでは、みんなが議論したがることのトップ3に入る。と自問する。 セキュリティは重要であり、 そうあるべきだからです」とマリアは言う。

実施方法

マリアと彼女のチームは、ソフトウェア開発ライフサイクルの各段階の早い段階で、ソフトウェア・セキュリティに優先順位をつける「シフト・レフト」アプローチを提唱している：

セキュアに始めれば、セキュアに "なる "必要はない。開発者の仕事量と作業時間を減らすことができます。ソフトウェアがすでに人々の環境で稼動しているときに、問題を再検討し、修正を加えようとするリスクを減らすことができます。最初に正しく行うことが重要です」とマリアは言う。

また、Blue Prismのセキュリティ文化が急成長していることも、彼らのセキュリティスキルの向上に役立っています。彼女は、Secure Code Warrior'Learning Platform を利用して、既存のスキルのベンチマークと強化に役立てることができました。また、事前の知識と経験を基に、身近なコードでセキュリティの課題に実際に取り組むことができました：

「開発者たちは、Secure Code Warrior をすぐに気に入りました。このプラットフォームに関わりたい、使いたい、関わりたいと思わせるのに、何の摩擦もありませんでした」とマリアは言う。「彼らがすでに持っている知識を再強化すると同時に、新しいことを学べる素晴らしい方法でした」。

Blue Prismは、Courses の機能も活用することで、学習内容を次のレベルに引き上げています。Mariaは、戦略に沿った精度の高い経路を開発者向けに作成し、ビジネスにおけるセキュリティ目標の達成に役立てています。

「開発者たちは私のcourses を気に入ってくれて いる。例えば、『機密データの取り扱い』コースがあります。例えば、『機密データの取り扱い』コースがあります。ビデオを復習に使い、それに関する演習を行い、最後にassessment 。開発者は時間が限られているので、このようなアプローチが好きなのです。彼らは、何か大きなことを成し遂げたと感じられるような、具体的なものを求めて いるのです」とマリアは言う。

結果

Blue Prismのチームは、クラス最高のセキュリティプログラムをサポートするスキルを磨くために、効果的で魅力的なトレーニングとcourses 。セキュリティに対する非常に積極的なアプローチにより、Secure Code Warrior は同社の組織に非常に適しており、規制コンプライアンスを達成し、世界有数の大企業を支える数多くの製品とサービスにわたってセキュリティを迅速に拡大するために非常に重要なトレーニングを強固なものにしました。

Mariaは、他社でよく見られる一般的な単発のトレーニングとはまったく対照的に、キュレートされた学習経路を使用しています。これにより、彼女はセキュリティ戦略の教育部分を効果的に拡大することができ、Blue Prismの品質と顧客第一の取り組みへの献身をさらに際立たせています。

「私たちは本当に幸運です。開発者たちもまた、卓越した技術哲学を信じているからです。彼らは紙に書かれたことを満たすことだけを望んでいるわけではありません。彼らは正しいことをしたいのです。彼らは、私たちの製品が安全であることを知りたがっていますし、何か起こったとしても、Blue Prismが単一障害点であったことが原因ではないということを保証したがるのです。この製品への信頼が違いを生むのです」とマリアは言う。

「セッティングしてくれてありがとう！本当に、本当に良かった。実際にやってみないと、どんなものかはわからない。でも、素晴らしい学習方法だよ。理論はだいたい知っているけれど、実際に動くコードを渡されて試すのは本当に効果的だ。"BluePrism開発者Ben、受講後のフィードバックtournament