すべての開発者が将来の雇用主に尋ねるべき100万ドルの質問
新入社員でもベテランでも、すべての開発者が問われるべき質問があります。その答えは重要です。アジャイルの世界ではさらに重要になっています。この質問は、あなたがソフトウェアエンジニアリングでどれだけ成功するか、そして次の雇用主にとってどれだけ価値があるかに直接影響するからです。
それは100万ドルの質問です。実際には、何度も何度も100万ドルの質問です
私が安全にコーディングできるようにサポートしてくれますか？
現在、データ侵害の平均コストは360万米ドルに達しています。今年、あなたの会社が情報漏えいに遭う確率は4分の1と言われています。これらの事実を考えると、開発者が安全なコーディングの能力を身につけて大学を卒業しておらず、セキュリティがDNAに組み込まれていないことに多くの人が不満を感じていることがわかります。
なぜか？ソフトウェアエンジニアリングは、まだ比較的若い職業です。これまでは、コードを素早く作成し、エレガントで機能的なコードを作成する方法を教えることに重点が置かれてきましたが、コードを安全に作成することにはほとんど重点が置かれていませんでした。方法論、技術、言語、機会の変化のペースは、これらの重要なスキルギャップをさらに悪化させています。
アカデミックなシステムをすぐに変えることはできませんから、開発者も企業も、開発者は仕事の中で安全なコーディングスキルを学ぶ必要があると考えるべきです。職業によっては、失敗しながら学ぶことができますが、それができない職業もあります。サイバーセキュリティでもそうです。
しかし、実際には、開発者向けのセキュリティ・トレーニングも十分ではありませんでした。世界の大規模なセキュリティ侵害のほとんどは、ハッカーがコンピューターネットワーク上で特権を得て、貴重なデータにアクセスして収穫できるようにするコーディングエラーが原因です。Verizon Data Breach Investigation Report (DBIR) 2017」によると、すべてのブリーチのうち30%がWebアプリケーションのセキュリティの弱点が直接の原因となっており、この結論は2013年以降のDBIRレポートで一貫しています。
2017年8月に発表された「2017 Global DevSecOps Skills Survey」では、すでに分かっていたことが確認されました。DevOpsプロフェッショナルの65%が、IT業界に入る際にDevSecOpsの知識を持っていることが非常に重要だと考えている一方で、70%が今日のDevSecOpsの世界で成功するために必要なトレーニングを正式な教育を通じて受けていないと感じています。
調査対象となった採用担当者の40％近くが、最も見つけるのが難しい社員は、セキュリティテストに関する十分な知識を持った万能型のハイエンド開発者であると報告しています。また、回答者の70％が、自分が受けたセキュリティ教育は、現在のポジションには十分ではないと答えています。実際、機会が全く与えられていないと答えたのは4％以下でした。
私は、プロのホワイトハットハッカーの複数のチームと10年近く仕事をしていたときに、このことを身をもって体験しました。大企業、新興企業、政府機関などに侵入しては、いつも同じような弱点を発見するという、悲劇的な繰り返しでした。
だからこそ、開発者は採用されるときに声を上げる必要があるのです。もしあなたの雇用主があなたの開発者のセキュリティトレーニングを真剣に受け止めていないのであれば、あなたはどんな会社に入社しようと考えているのかを考えるべきです。
2つ目の質問は、どのようにして提供するかということです。ハンズオンでインタラクティブなものになっていますか？開発者向けのセキュリティトレーニングでは、スライドウェア、ビデオ、クリックできるアニメーション、抽象的な議論などを使って脆弱性を説明しますが、コーディングに直接役立つとは思えません。最新の脆弱性を継続的に学ぶことができますか？あなたが学ぶことのできるセキュリティギルドやコミュニティはありますか？助けが必要なときに頼れるセキュリティの達人がいますか？
安全なコーディングスキルを身につけるためには、特定のコーディングフレームワークを使った実践的なチャレンジや、複数のシナリオで異なる脆弱性に直面することによる継続的な学習が必要です。SQLインジェクションについては、1つの例だけでは学べません。このような危険なコーディングパターンを認識できるようになるためには、様々な種類の複数の例に触れる必要があります。
あるお客様は、開発者に2ヶ月間、毎日1つの課題（5分）を課しました。トレーニング期間の前後で開発者のスキルをテストしたところ、数百人の開発者グループと比較して、セキュアコーディング能力が60%向上したことが確認されました。これは、ライフサイクルの後半でセキュリティバグの発見と修正に費やされるリソースが減り、長期的に大きな節約になることを意味します。これは、ハッカーがあなたのコードを使って企業のデータを侵害することがないことを意味します。
IDCの調査によると、2014年には世界に1100万人のプロの開発者がいました。2015年にBurning Glass社が発表したところによると、コーディングスキルを必要とする職種は700万にものぼり、プログラミングの仕事は市場よりも平均12％早く成長しているとのことです。
ソフトウェアの仕事はたくさんあります。だからこそ、自社のセキュリティ、あなたのセキュリティ、そして顧客のセキュリティに配慮することを約束してくれる雇用主を選ぶようにしましょう。 ひいては、自分に投資してくれる企業を選ぶのです。
新入社員でもベテランでも、すべての開発者が問われるべき質問があります。その答えは重要です。アジャイルの世界ではさらに重要になっています。この質問は、あなたがソフトウェアエンジニアリングでどれだけ成功するか、そして次の雇用主にとってどれだけ価値があるかに直接影響するからです。
それは100万ドルの質問です。実際には、何度も何度も100万ドルの質問です
私が安全にコーディングできるようにサポートしてくれますか？
ピーテル・ダンヒユー
Pieter Danhieuxは、セキュリティコンサルタントとして12年以上の経験を持ち、SANSの主席講師として8年間、組織、システム、個人をターゲットにしてセキュリティの弱点を評価する方法に関する攻撃的なテクニックを教えている、世界的に有名なセキュリティエキスパートです。2016年には、オーストラリアで最もクールな技術者の一人として認められ（Business Insider）、Cyber Security Professional of the Yearを受賞（AISA - Australian Information Security Association）、GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA認定を保有している。
セキュアコーディングに関する最新の知見をブログでご紹介しています。
当社の豊富なリソースライブラリは、安全なコーディングアップスキルに対する人間的なアプローチを強化することを目的としています。
開発者主導のセキュリティに関する最新の研究成果を入手する
ホワイトペーパーからウェビナーまで、開発者主導のセキュアコーディングを始めるために役立つリソースが満載のリソースライブラリです。今すぐご覧ください。
すべての開発者が将来の雇用主に尋ねるべき100万ドルの質問
新入社員でもベテランでも、すべての開発者が問われるべき質問があります。その答えは重要です。アジャイルの世界ではさらに重要になっています。この質問は、あなたがソフトウェアエンジニアリングでどれだけ成功するか、そして次の雇用主にとってどれだけ価値があるかに直接影響するからです。
それは100万ドルの質問です。実際には、何度も何度も100万ドルの質問です
私が安全にコーディングできるようにサポートしてくれますか？
現在、データ侵害の平均コストは360万米ドルに達しています。今年、あなたの会社が情報漏えいに遭う確率は4分の1と言われています。これらの事実を考えると、開発者が安全なコーディングの能力を身につけて大学を卒業しておらず、セキュリティがDNAに組み込まれていないことに多くの人が不満を感じていることがわかります。
なぜか？ソフトウェアエンジニアリングは、まだ比較的若い職業です。これまでは、コードを素早く作成し、エレガントで機能的なコードを作成する方法を教えることに重点が置かれてきましたが、コードを安全に作成することにはほとんど重点が置かれていませんでした。方法論、技術、言語、機会の変化のペースは、これらの重要なスキルギャップをさらに悪化させています。
アカデミックなシステムをすぐに変えることはできませんから、開発者も企業も、開発者は仕事の中で安全なコーディングスキルを学ぶ必要があると考えるべきです。職業によっては、失敗しながら学ぶことができますが、それができない職業もあります。サイバーセキュリティでもそうです。
しかし、実際には、開発者向けのセキュリティ・トレーニングも十分ではありませんでした。世界の大規模なセキュリティ侵害のほとんどは、ハッカーがコンピューターネットワーク上で特権を得て、貴重なデータにアクセスして収穫できるようにするコーディングエラーが原因です。Verizon Data Breach Investigation Report (DBIR) 2017」によると、すべてのブリーチのうち30%がWebアプリケーションのセキュリティの弱点が直接の原因となっており、この結論は2013年以降のDBIRレポートで一貫しています。
2017年8月に発表された「2017 Global DevSecOps Skills Survey」では、すでに分かっていたことが確認されました。DevOpsプロフェッショナルの65%が、IT業界に入る際にDevSecOpsの知識を持っていることが非常に重要だと考えている一方で、70%が今日のDevSecOpsの世界で成功するために必要なトレーニングを正式な教育を通じて受けていないと感じています。
調査対象となった採用担当者の40％近くが、最も見つけるのが難しい社員は、セキュリティテストに関する十分な知識を持った万能型のハイエンド開発者であると報告しています。また、回答者の70％が、自分が受けたセキュリティ教育は、現在のポジションには十分ではないと答えています。実際、機会が全く与えられていないと答えたのは4％以下でした。
私は、プロのホワイトハットハッカーの複数のチームと10年近く仕事をしていたときに、このことを身をもって体験しました。大企業、新興企業、政府機関などに侵入しては、いつも同じような弱点を発見するという、悲劇的な繰り返しでした。
だからこそ、開発者は採用されるときに声を上げる必要があるのです。もしあなたの雇用主があなたの開発者のセキュリティトレーニングを真剣に受け止めていないのであれば、あなたはどんな会社に入社しようと考えているのかを考えるべきです。
2つ目の質問は、どのようにして提供するかということです。ハンズオンでインタラクティブなものになっていますか？開発者向けのセキュリティトレーニングでは、スライドウェア、ビデオ、クリックできるアニメーション、抽象的な議論などを使って脆弱性を説明しますが、コーディングに直接役立つとは思えません。最新の脆弱性を継続的に学ぶことができますか？あなたが学ぶことのできるセキュリティギルドやコミュニティはありますか？助けが必要なときに頼れるセキュリティの達人がいますか？
安全なコーディングスキルを身につけるためには、特定のコーディングフレームワークを使った実践的なチャレンジや、複数のシナリオで異なる脆弱性に直面することによる継続的な学習が必要です。SQLインジェクションについては、1つの例だけでは学べません。このような危険なコーディングパターンを認識できるようになるためには、様々な種類の複数の例に触れる必要があります。
あるお客様は、開発者に2ヶ月間、毎日1つの課題（5分）を課しました。トレーニング期間の前後で開発者のスキルをテストしたところ、数百人の開発者グループと比較して、セキュアコーディング能力が60%向上したことが確認されました。これは、ライフサイクルの後半でセキュリティバグの発見と修正に費やされるリソースが減り、長期的に大きな節約になることを意味します。これは、ハッカーがあなたのコードを使って企業のデータを侵害することがないことを意味します。
IDCの調査によると、2014年には世界に1100万人のプロの開発者がいました。2015年にBurning Glass社が発表したところによると、コーディングスキルを必要とする職種は700万にものぼり、プログラミングの仕事は市場よりも平均12％早く成長しているとのことです。
ソフトウェアの仕事はたくさんあります。だからこそ、自社のセキュリティ、あなたのセキュリティ、そして顧客のセキュリティに配慮することを約束してくれる雇用主を選ぶようにしましょう。 ひいては、自分に投資してくれる企業を選ぶのです。
新入社員でもベテランでも、すべての開発者が問われるべき質問があります。その答えは重要です。アジャイルの世界ではさらに重要になっています。この質問は、あなたがソフトウェアエンジニアリングでどれだけ成功するか、そして次の雇用主にとってどれだけ価値があるかに直接影響するからです。
それは100万ドルの質問です。実際には、何度も何度も100万ドルの質問です
私が安全にコーディングできるようにサポートしてくれますか？
