ディフェンダーの10年Secure Code Warrior 10年目

若い頃、私はDOOMをよくプレイしていたが、確かに最初の頃は、ゲームの最初の2、3回をクリアするために、さまざまな難易度を切り替えなければならなかった。難易度は「I'm Too Young To Die」（イージー）から「Nightmare」（ベリーハード）まであった。技術系企業の経営、特に多くの要素がデリケートで不安定で失敗しやすい初期段階では、単純にリセットして難易度を変えられたらと思う日もある。

統計はよく知られており、気の遠くなるようなものだ：スタートアップ企業は約90％の割合で倒産しており、これは長年続いている状況だが、さらに深く掘り下げると、一般的な内訳は、スタートアップ企業の21％が初年度に倒産し、30％が2年以内に倒産、50％が5年目までに倒産、70％が最初の10年以内に倒産している。 

私の共同創業者であるマティアス・マドゥ、ファテマ・ベイドゥン、コリン・ウォン、ネイサン・デスメット、ヤープ・カラン・シンが、ゴールドマン・サックス、シスコ・インベストメント、パラディン・キャピタル、フォージポイント、エアツリー、タイダル、そして私の独立役員であるジム・プフラッギングとナンヒ・シンの支援を受けて、「レベル10」に到達できたことを誇りに思います。

創業チームは、10年間、あらゆる教訓、勝利、そして挫折を乗り越え、一丸となって舵取りをしてきました。私たちは、開発者のリスクマネジメントのリーダーとして、SCW 2.0という次の章に臨む準備を整えています。

2024:業界初のデータインサイトツールを市場に投入した年。

人材育成の投資対効果を実証するのは非常に難しいが、2024年、SCWは業界全体が求めていたことを実現した：「開発者のスキルアップによってソフトウェアの安全性が高まったことを証明できますか？私たちは、確立されたプログラムを実行している最大手の顧客から脆弱性と問題の修復データを収集し、顧客からの検証を経て、安全な開発者が作成したコードとその他の開発者が作成したコードとでは、脆弱性の減少の中央値が53％であったことを自信を持って証明することができます。また、セキュアな開発者はセキュリティ問題を2～3倍速く修正でき、時間を節約し、リスクにさらされる機会を減らすことができることも証明しました。

SCW Trust Score は、企業のセキュアコーディングプログラムの影響を定量化する唯一のベンチマーク機能です。セキュリティ・リーダーは初めて、開発チームのセキュア・コーディング・スキルに関する詳細でデータに裏打ちされた洞察を得るとともに、業界標準と比較することができる。これは、プログラムに重要な調整を加えるだけでなく、個々の開発者に生涯にわたってセキュリティスキルを強化するための学習経路を提供するために、多くの人が待ち望んでいた非の打ちどころのない可視化です。私たちは、元米国国家サイバー長官であるクリス・イングリス（Chris Inglis）氏と、パラディン・グローバル・インスティテュート（Paladin Global Institute）社長であり、元米国国家サイバー長官代行であるケンバ・ウォルデン（Kemba Walden）氏との共同研究論文も発表しています。

その後、私たちは、組織のコードリポジトリ全体にわたって可視性を提供し、開発者のセキュアコーディングスキルに照らしてすべてのコミットを分析するコンパニオン製品であるSCW Trust Agentをリリースしました。SCW Trust Agent は、SCW Trust Score の上に構築され、すべてのコミットにおいて企業のセキュリティプログラムがいかに効果的に適用されているかを実証するために連携します。

これらのツールは、開発者のセキュリティスキルの検証、セキュアなコミット、最終的には実証済みのセキュアな設計原則に必要な脆弱性のカテゴリの根絶など、CISAのSecure-by-Designガイドラインのような目標を達成するために、企業のセキュリティリーダーを支援するのに役立っている。 

パートナーの皆さん、こんにちは！私たちのパートナー・ネットワークは、顧客ベースと同様に成長を続けています。

サイバーセキュリティ業界に身を置くことでより心温まることの1つは、本質的に、私たちは皆、1つの大きな、オタクで情熱的なコミュニティであり、ほとんどの場合、相互の成功だけでなく、すべての人にとってより安全なデジタル世界を追求するために力を合わせることを厭わないということを理解することです。

私たちは、さまざまなセキュリティ企業やテクノロジー企業をビジネスパートナーと呼べることを光栄に思っており、パートナー・プログラムは、私たちの成長を後押しする上で大きな力となっています。2024年末には、情報管理のグローバルリーダーであるオープンテキストとの2度目のOEM提携を発表しました。この進展は、当社の主要OEMパートナーであるブラックダックと相まって、企業とそのセキュリティ・プログラムの現代的なニーズに応える本格的かつ総合的なソリューションを提供する素晴らしい機会を与えてくれます。

さらに、現在では650社を超える企業のお客様にご利用いただいています。10年前、最初の大口顧客の獲得を祝って、4人のチームに安いランチをごちそうしたことを覚えています。

AI、究極の破壊者、そして開発者主導型セキュリティの未来。

人工知能、LLM、AIコーディング・ツールは、2年以上前からITプロフェッショナルの間で話題になっている言葉だ。ほぼすべてのカテゴリーでAIツールが乱立し、膨大な生産性の向上が約束されている。ソフトウェア開発では、最近のGitHubの調査で、ほとんどのエンジニアがAIを搭載したコーディング・アシスタントを採用し始めていることが明らかになった。 

これらのツールの使用を承認している組織はわずか38％であるにもかかわらず、これらのツールは今やソフトウェア開発の風景の一部となっている。これらのツールの使用は避けられないものであり、「シャドーAI」の状況を作り出すのではなく、セキュリティリーダーは、開発者を安全で責任あるコーディングの道へと導くことに注力すべきである。セキュリティ意識の高い開発者は、クリティカルシンキングとセキュリティの専門知識を駆使してこれらのツールを使いこなし、生産性の向上から真に恩恵を受けることができる。 

2025年は、AIコーディングの進歩が続く年である。それでも、私たちは、企業が開発者のリスク管理を効果的に適用できるよう、この分野やその他多くの分野で、何か1つか2つのものを手に入れることができるかもしれない。私たちの旅の行く末にご期待ください。