デジタル化が進んだ世界では、データ盗難のリスクがますます高まっています。私たちの貴重な情報の門番となっている大企業では、厳しいセキュリティ基準を導入する必要性が認識されています。

左にシフトする」、つまり開発プロセスのより早い段階でセキュリティを導入するという取り組みの多くは、単に針を十分に動かしていないのです。ここには、間違った方法でプロセスを開始し、より安全なソフトウェアという結果を得るために最終的に後退しているという意味が含まれています。私たちは、開発チームを積極的に参加させ、現在不足している知識を身につけさせる文化的な変化を起こし、左から始めなければなりません。しかし、すべてのトレーニングやツールが同じというわけではありません。

この記事では、セキュリティ意識の高い開発マネージャーなどの主要なリーダーが、開発者集団に真の意味で力を与え、コストのかかるサイバー攻撃に対する防御の最前線へと転換させる方法を探ります。

左シフト」と「左スタート」。重要な違いです。

世界で最も信頼されている組織のいくつかに頻繁にデータ侵害が発生している時代、企業のリーダーたちは、攻撃の成功がもたらす金銭的、風評的、そして目に見えない災害を回避するための指針をセキュリティ業界に求めています。

かなり以前から、AppSecのスペシャリスト（私を含む）は、実際に「左にシフト」しなければならないとアドバイスしてきました。DevOpsのベストプラクティスと、より良いソフトウェアセキュリティの成果を維持するために、私たちの多くは、ソフトウェア開発ライフサイクル（SDLC）の中で、ソフトウェア構築のセキュリティ部分をより早い段階で行うべきだとアドバイスしました。コストのかかる最終段階ではなく、むしろプロセスの開始時に近い段階に移行し、ソフトウェアプロジェクトが動き出す早い段階でAppSecチームが関与すべきである。

これは悪いアドバイスではありませんし、これまでのやり方よりも確実に優れています（世の中にある盗まれたデータの量や、それを盗むために使われた脆弱性の古さが示唆するように、いずれにしてもうまくいっていません）。しかし、私たちが実際に左から始めれ ば、セキュリティの成果ははるかにポジティブなものになるでしょう。

左シフト、左スタート...その違いは何でしょうか？その違いは、開発チームとの関わり方にあります。後発のツールチェーンや手動のコードレビューでは対応できないような、より安全なソフトウェアを安価に提供するためには、本当に開発チームが鍵となります。理想的な世界では、ソフトウェアを開発するすべての開発者が、最初から安全なコードを書くための知識とツールを持っています。彼らは潜在的な欠陥を発見し、コミットされる前にその欠陥を軽減することができます。これまで何十年にもわたって見られてきた、攻撃者がバックドアから侵入する原因となっているセキュリティバグは、劇的に減少するでしょう。SQLインジェクション、クロスサイトスクリプティング、認証不備などの機会損失が減少します。

しかし、現在、職業レベルではセキュリティが十分に強調されておらず、現場で行われるセキュアコーディングのトレーニングには大きなばらつきがあります。その結果、開発者は、組織が左遷を開始するために必要なものをほとんど持っていません。今こそ、指導的立場にある人たちが協力して、より広範なセキュリティ意識を提唱する時です。開発者に対する直接の知識と接触が、効果的なプログラムを推進する上で不可欠なのです。結局のところ、開発マネージャは、かつて彼らの立場に置かれていて、ツールを使いこなし、セキュリティ空間をナビゲートするのは難しいことでした。

開発者は（まだ）セキュリティを愛していません...しかし、あなたは会話を変えることができます。

一般的な開発者が「セキュリティ」について言及すると、よくても目を丸くし、最悪の場合は困惑することになるでしょう。

開発者は、機能的で革新的な機能を備えたソフトウェアを構築し、タイトなプロジェクトのスケジュール内で提供することを主な責務としています。コーディング・レベルでセキュリティが優先されることはほとんどなく、迅速な納品や創造性を発揮するための面倒な障害と見なされることさえあります。AppSecは、コードを綿密にチェックし、ペンテストを行い、そして悪いニュースを報告しなければなりません。これは、リソースと時間が不足しがちな環境での高価なプロセスであり、究極的には同じ目標を持っていても、全く異なる言語を話す2つのチームの間に軋轢を生じさせるセットアップです。

このような状況下で、セキュリティトレーニングを義務付けることは、かなり冷ややかな受け止め方になるでしょう。しかし、すべての開発者のセキュリティ意識に火をつける力は、決して夢物語ではありません。適切なトレーニングとサポートがあれば、開発者は自分のソフトウェアにセキュリティを組み込み、自分でコントロールできるセキュリティ上の成果に責任を持つようになります。開発者自身が一般的なバグに対処することができれば、高価な専門家は本当に複雑な問題を解決することができます。もしあなたが開発チームを管理する立場にあるならば、このギャップを埋め、チームがその恩恵を受けられるようにするための手助けをすることができます。

すべてのトレーニングは平等ではありません。

最後に何か新しいことを学ぶことに興奮したのはいつですか？その際、「必須」、「コンプライアンス」、「17時間のビデオ」といった言葉は思い浮かばなかったのではないでしょうか。

開発者も同様です。彼らは賢く、創造的で、問題を解決するのが大好きです。セキュリティの脆弱性に関するビデオを延々と見続けても、彼らの興味を引くことはできないでしょうし、内容を記憶にとどめることもできないでしょうし、最終的に彼らの日常の役割や責任を具体化することもできないでしょう。SANSのインストラクターとしての経験から、最高のトレーニングは実践的なものであり、参加者の頭脳をテストし、事前学習を基にした実例を用いて、参加者に分析と知的挑戦を強いるものであることが早くから明らかになっていました。また、ゲーミフィケーションや切磋琢磨は、新しいコンセプトを全員に浸透させるための強力なツールであると同時に、有用で実用的なアプリケーションでもあります。

もう1つの怖い要因は、多くのセキュリティトレーニングが監視されていないことです。ビッグブラザーに監視されているように感じたい人はいないでしょうが、教育が適切であるかどうかを誰もチェックしないのであれば、教育に時間、お金、労力を費やす意味があるのでしょうか？

適切なソリューションは、安全なコーディングを楽しく、適切に、魅力的に、そして測定可能にします。開発者にチャレンジしてもらい、彼らを優遇し、特別なイベントにしましょう。ゲーム化されたトレーニングは、脳の報酬センターを刺激し、学習を続け、知識の限界を押し広げ、そして単純に、より高い水準のソフトウェアを構築するためのインセンティブを提供することは、双方にとって好都合です。

セキュリティ文化の健康診断。あなたの会社はライフサポートを受けていますか？

セキュリティ文化が希薄な環境で安全なソフトウェアを作成することは、足首に石をくくりつけたままマラソンに勝とうとするようなものです。

ゲーム化されたトレーニング、真っ向勝負のtournaments 、開発者のセキュリティ成長を支援するという姿勢は、積極的なセキュリティ文化の推進に大いに役立ち、AppSecと開発チームは互いの日常業務についてより多くの知識を得ることができます。そして、より良い関係が築かれ、（多くの場合、限られた）セキュリティ予算が、同じような小さくて厄介なバグを何度も何度も修正する「グラウンドホッグデー」シナリオに費やされることはありません。

それは、自分でも知らなかったセキュリティ・チャンピオンを発掘できることです。全員が参加する適切なトレーニングを行い、さらにassessment を徹底することで、セキュリティに対する適性があるだけでなく、積極的な情熱を持った人材を発掘することができます。これらのチャンピオンは、勢いを維持し、チーム間の連絡窓口となり、同僚を監督し、ベストプラクティス・ポリシーを支持するために不可欠です。表彰や役員のサポートを含む強固なチャンピオン・プログラムを導入することは、組織にとって大きな意味を持つだけでなく、個人の履歴書にも印象的に記載され、将来のキャリアを強化することにもつながります。

積極的なセキュリティ文化に取り組むことで、責任が共有され、より優れたセキュアなソフトウェアを実現することができます。最終的には、ソフトウェア開発ライフサイクルに携わるすべての人が、「安全なソフトウェアでなければ、良いソフトウェアではない」というシンプルな言葉を守らなければなりません。

拡散してください。

サイバーセキュリティのベストプラクティスは、10年以上も前から話題になっており、世界中のほとんどの地域で政府レベルで頻繁に議論されています。サイバー攻撃は基本的に日常的に行われており、貴重な個人情報をオンラインで保存している企業はすべて標的になる可能性があります。ドイツだけを見ても、連邦教育研究省の推計によると、すべての中小企業の96％がすでにITセキュリティ事故を経験しています。同報告書では、サイバーセキュリティに関する研究、法整備、意識向上が急務であることが強調されており、コンピュータサイエンスやIT関連分野において、より強固なセキュリティ教育を行うことが強く求められています。

GDPRの導入に加えて、ドイツ連邦政府のサーバーだけでなく、多くの公人の機密データを流出させた複数段階の攻撃を受けて戦略を見直したことで、DACH地域のリーダーにとってサイバーセキュリティに対する意識と行動が最重要課題であることは明らかです。2018年末に発生したハッキング事件は、比較的スキルの低い20歳の学生が実行したもので、パスワードを推測するだけで高度な機密情報にアクセスすることができました。これは非常に問題のある認証不正行為でしたが、政府、企業、社会レベルでのセキュリティ意識の向上の必要性が浮き彫りになりました。2019年に発表されたレポートでは、ドイツがサイバーセキュリティ対策の面で遅れをとっており、主な戦術として法律に頼っていることが指摘されています。しかし、理想的な開発手法としてDevSecOpsが登場したことで、多くの企業が、実践的なトレーニング、セキュア・バイ・デザインのソフトウェア作成、全社的なセキュリティ意識向上プログラムの必要性を認識しています。

DACHにおけるソフトウェア・セキュリティ・ハートビート

OWASPやMITREなどの組織は、データを検証した上で、最も頻繁に発生する脆弱性のランキングを発表しています。すべての言語において、SQLインジェクションが1位となっており、数十年前に作られたにもかかわらず、一般的な欠陥であり、しばしば悪用されて悲惨な結果を招いています。

スイスのBPC銀行のソフトウェアであるSmartVistaは、SwissCERTによってSQLiの脆弱性が警告されていましたが、クレジットカード番号を含む重要な顧客データが流出する可能性があるにもかかわらず、数ヶ月間パッチが適用されていませんでした。SQLインジェクションは、2017年にアメリカやイギリスの複数の政府機関や大学で起きた情報漏えい事件のように、危険な情報漏えいにつながる可能性があり、実際に起きています。これらの事件の多くは、入力検証プロセスの甘さが原因で、攻撃者がアプリケーションのフロントエンドから悪意のあるコードを挿入することができます。もう一つの一般的な脆弱性の原因は、セキュリティバグがチェックされていない安全性の低いベンダーコードを使用することで、以前にスキャンされてクリアされた本番環境に欠陥が持ち込まれてしまうことです。これらのアクセスポイントはいずれもDACH地域に固有のものではなく、世界がより多くのコードを生産する中で、これ以上続けることができない不十分なセキュリティ慣行の世界的な例となっています。

問題が発見されたらすぐにパッチを当てることが重要であり、SmartVistaの決断が遅れれば大惨事になる可能性がありました」と述べています。DACHではこれまでにも多くの問題が発生していますが、セキュリティ意識の向上とトレーニングに関するガイドラインとサポートをより重視することで、組織レベルでの潜在的な問題が手に負えなくなるのを防ぐことができます。これには、開発者に対する評価トレーニングを促進するための、より具体的な法律が必要になります。

すべてのセキュアコードトレーニングが同じように作られているわけではありません。

世界中の多くのサイバーセキュリティ指令は、より包括的になってきていますが、効果的なセキュリティトレーニングの概要に関しては、まだあまり具体的ではありません。EUのNIS指令には、国家レベルでの「意識向上、トレーニング、教育」の必要性が含まれていますが、トレーニングソリューションを急いで導入しても、開発者のスキルアップや組織の変革を促す重要な要素が欠けていれば、目に見える形でのリスク削減という望ましい結果は得られないでしょう。

教育ソリューションは様々で、トレーニングは、開発者の本業に特化したものでなければならず（好みの言語やフレームワークで学習できることも含む）、また、魅力的で長期的に測定可能なものでなければなりません。

コンピュータ・ベースのビデオ・トレーニングのような静的なトレーニング・ソリューションは、一般的すぎて、コードを書いている最中に脆弱性が侵入するのを防ぐための意識やスキルを高めることに成功したかどうかを再検討したり評価したりすることはほとんどありません。しかし、ダイナミック・トレーニングは、ビジネス・ミティゲーション・プロセスに影響を与える指標を提供するだけでなく、文脈に沿った例を用いて開発者をスキルアップさせるのに不可欠です。このトレーニングは頻繁に更新され、高いレベルでの知識の保持を促進し、職場のポジティブなセキュリティ文化に貢献するセキュリティ意識の高い開発者を育成する一環となります。

Secure Code Warrior DACHのパイロットからのデータポイント。

Secure Code Warrior セールスディレクターのEma Rimeike（サイバーセキュリティ修士）は、DACH地域の企業と緊密に連携し、開発者向けのパイロットプログラムを実施して、開発者の社内でのセキュアコーディング能力、セキュリティのベストプラクティスへの関与、さらには企業の全体的なセキュリティ文化を評価しています。ゲーム化された動的なセキュアコードトレーニングを活用した結果、SDLCの初期段階から脆弱性の低減を成功させるための知識とツールが開発者に与えられれば、明るい未来が開けることがわかりました。

パイロットプログラムでは、15個の安全なコーディングチャレンジ（一口サイズのゲーム化された自習用レッスン）を行い、ユーザー1人あたり平均90分をSecure Code Warrior (SCW) プラットフォームで過ごした統計を収集しました。

ユーザーが1つのチャレンジを完了するのに費やした時間は平均5.5分で、他のグローバルSCWパイロットでは平均3分でした。

• 精度と確信度の比較DACHのパイロットは、課題に対する回答の信頼度について平均88～92%を記録しましたが、これらの回答の正確性は53～66%でした。
• 調査対象者の75％以上が、コンピュータベースのトレーニング（CBT）のような静的なアプローチではなく、ゲーミフィケーションを用いた、つまり動的なトレーニング方法を好んでいます。
• よく見られる脆弱性としては、インジェクション脆弱性、セキュリティ設定ミス、クロスサイトスクリプティング（XSS）、不適切なプラットフォーム利用、アクセス制御、認証、メモリ破壊、クロスサイトリクエストフォージェリ、不十分なトランスポートレイヤー保護、無効なリダイレクトとフォワードなどが挙げられます。

一般的に、DACH地域では、強い労働意欲と正確さへのこだわりが評価されていることは周知の事実ですが、パイロットプログラムに挑戦している開発者も例外ではありません。これらのデータは、彼らがこの種のトレーニングに慣れていないことを物語っていますが、同時にプレイを続け、スコアを伸ばし、利用可能な「ヒント」機能を使わないようにしたいという願望も持っています。彼らの学びたい、向上したいという気持ちは明らかですが、組織内で効果的なトレーニングと意識改革を実施するためには、さらなる努力が必要であることを示しています。

リスクを低減し、脆弱性を阻止するための優れたトレーニングは、一回限りのものではなく、コンプライアンスを超えたものです。管理者とAppSec担当者は、セキュリティの中核となる目標を反映し、それを長期的に維持するための戦略とサポートを備えたセキュリティ意識向上プログラムを展開する努力をしなければなりません。これは、事実上、セキュリティ意識の高い開発者によるDevSecOpsプロセスを成功させるためのバックボーンとなります。

パイロットプログラムは組織に何をもたらすのか？

Secure Code Warrior のパイロットプログラムは、企業が現在のセキュリティの健全性（通常は65～75％）を把握し、直ちに改善すべき点を示す非常に貴重なツールです。その結果、以下のことが判明しました。

• どの脆弱性に優先的に対処すべきか、またこの指示を特定のチーム、ビジネスユニット、またはプログラミング言語に適用すべきかどうかを明確にする。
• ソフトウェア開発の人的要因を含む、SDLC内のサイバーセキュリティリスク要因に関する正確でより広い範囲の情報を提供します。
• SCWのプラットフォームを活用することで、企業はペンテストの潜在的な結果を予測し、それらのリスクを前もって軽減する機会を得て、チームが特定のプロジェクトに割り当てられる前に準備することができます。

包括的で効果的なセキュリティプログラムの展開を開始した組織では、開発者がセキュアコーディングの知識を向上させるために、通常、週に1〜1.5時間の専門的な開発が管理者レベルで承認されている。しかし、組織は、「プラットフォームに費やす時間」から、「どのソフトウェア開発チームがビジネスに最も高いリスクと最も低いリスクをもたらしているか」に焦点を当てるようになってきていることに注目しています。これには、正式な認証／ベルティング、セキュリティチャンピオンの発掘、メンタリングプログラムなどが密接に関連しており、最良の結果が得られるようになっています。時間の配分と建設的で前向きなassessment は、セキュリティを好むだけでなく、ビジネスへのリスクを測定的に削減するセキュリティ意識の高い開発者を生み出すための絶対的な鍵となります。

Secure Code Warrior をどのように利用しているか？

すでにいくつかの企業では、Secure Code Warrior を利用して、意識を高め、開発者のスキルを高め、積極的なセキュリティ文化を拡大しています。

例えば、あるユースケースでは、プラットフォーム上でトレーニングを行っているチームが、SCWを使って自分たちのセキュリティの強みと弱みを明らかにしました。  

開発者の行動。 開発者は、自分の結果を見て、重点的に取り組むべき分野を示し、自己管理をする権限を与えられました。また、特定の脆弱性や知識のギャップを軽減するためのトレーニングをペースアップし、今後のソフトウェアビルドに役立てることができました。

マネジメントのアクション チームレベルでの全体的な強みと弱みを分析し、懸念される特定の分野に対処するゲーミフィケーション的なアプローチを処方することができました。これにより、関連する知識を迅速に構築する双方向の教育経路が生まれました。

成果は？ チームレベルでのペンテストを実施すると、あらゆる脆弱性が明らかになり、過去の結果を比較することで、一般的なセキュリティバグを減らすためにトレーニングが効果的であったかどうかを簡単に検証することができました。

このことは、ソフトウェア開発の初期段階につながります。継続的な改善を目指すチームの目標を事前にトレーニングし、セキュリティのベストプラクティスを最初に導入することは、効果的で、展開が容易で、開発範囲全体の時間を節約することができます。

DevSecOpsプロジェクトチーム

理想的な DevSecOps 環境では、複数のビジネスユニットがプロジェクトチームに参加し、中核となる成果を決定して提供します。

プロジェクト前の調査と計画に関して、SCW プラットフォームは、作業を開始する前に提案された開発チームのセキュリティスキルを評価することができ、最終的なペンテストの結果や SDLC におけるセキュリティ関連の遅延を予測して、十分な準備を行うことができます。また、プロジェクトのコードと構造に特化したトレーニングを作成し、チームが作業できるようにします。このトレーニングには、全体的なセキュリティ意識のスキルを検証するassessment/認証プロセスが含まれ、プロジェクトの成果物を自由に扱えるようにする前に、事前に合格点を要求します。

これにより、脆弱性の修正コストの削減、セキュリティリスクの軽減、ペンテストにかかる時間の短縮、高額な報奨金プログラムのコスト削減、開発コホートのスキルアップなど、集中化された持続可能でスケーラブルな統一された方法で、莫大なビジネス価値のあるアプローチを提供します。

結論から言うと

企業に対しては、セキュリティを優先し、データを安全に保ち、世界的に厳しくなる規制に準拠するよう求める圧力が高まっていますが、特にEUで取引を行っている企業は、厳格なGDPRガイドラインに基づいています。

DACH地域の企業では、トレーニングの努力と成果を、製造するコードの一般的な脆弱性の削減など、リスクの防止に関連する実際の活動に結びつけることで、実行可能なセキュリティ経路を作っていることが明らかになっています。

セキュリティ予算、意識、コンプライアンス全体を向上させるために、真に定量化可能なビジネスケースを構築するためには、開発者にとって魅力的で、一貫性があり、適応性があり、測定可能なトレーニングが必要です。適切なトレーニングを提供するために現在の能力を追跡すること、セキュリティチャンピオンを発掘すること、チームのパフォーマンスを長期的に測定することは、すべて重要な取り組みです。

多くの企業は、一般的すぎるセキュリティパフォーマンス指標に悩まされています。SCWプラットフォームを長期的かつ継続的に使用することで、企業は精度の高い評価、courses 、管理指標を活用して発見することができます。

• 脆弱性の長期的な低減
• 脆弱性を修正するための時間的コストの削減
• 個人とチームの長期にわたるスキルアップ
• ペンテスティング段階でのコストと時間の削減

現在、組織ではどのような指標を追跡していますか、それらはどのくらいの頻度で再測定されていますか、そしてそれらは時間の経過とともに顕著な改善を示していますか？既存の開発者のワークフローの観点から、トレーニングの取り組みはどの程度統合されていますか？

SCWのダイナミックでゲーム性のある包括的なアプローチは、安全なソフトウェア開発ライフサイクルのワークフローにおいて重要な役割を果たすと考えられています。企業は、開発者に適切なツールとトレーニングを提供し、SCWをSSDLCワークフローの一部として組み込んでいます。

この記事は以下に掲載されました。 インフォメーション・セキュリティ・バズに掲載され、他のいくつかの媒体にも取り上げられました。ここでは、シンジケーションのために更新されています。

昨年末、MITREの素晴らしいコミュニティが、2019年に世界に影響を与えた「CWE Top 25 Most Dangerous SoftwareErrors」のリストを発表しました。このリストは意見に左右されるものではなく、NISTのような組織の活動や、公開されているCVE（Common Vulnerabilities and Exposures）データを活用した多面的な分析の結果です。上位」の欠陥を決定するために、その重大性、悪用可能性、現行ソフトウェアでの普及率に基づいてスコアが付けられています。このようなリストは、積極的な賞賛を得られるようなものではありません。

しかし、一般的な年鑑とは異なり、このリストに登場する多くの作品は、何度も何度も登場しています。これがBillboard Hot 100チャートであれば、ブリトニー・スピアーズの「Baby One More Time」やバックストリート・ボーイズの「I Want It That Way」が初登場以来、毎年登場しているようなものだ。なぜそのような曲を選んだのか？それは、何十年も前に発見されたにもかかわらず、2020年になっても私たちを悩ませている危険なソフトウェアのエラーのように、およそ20年前の曲だからです。

なぜ古いバグは危険なのか？直し方もわからないのか？

現在のMITREのリストの第6位は、SQLインジェクション（SQLi）として知られるCWE-89です。SQLiの脆弱性が初めて発見されたのは1998年のことで、まだ多くの人がGoogleではなくJeevesに切実な質問をしていた頃でした。その後すぐに修正プログラムが公開されましたが、それでも2019年に最も使われているハッキング手法の1つであることに変わりはありません。アカマイの インターネットの現状のレポートでは、ウェブアプリケーション攻撃の3分の2でSQLiが原因となっていることが明らかになりました。

複雑さという点では、SQLインジェクションは天才的なレベルのエクスプロイトとは程遠いものです。ウェブ開発者にとっては簡単な修正方法であり、この脆弱性によって貴重なデータが攻撃者にさらされるのを防ぐ方法は何のためらいもなく知っています......問題は、今日でも多くの開発者にとって、セキュリティは優先事項ではないということです。20年前には簡単だったかもしれませんが、今日、そして未来に作られる膨大な量のソフトウェアを考えると、これはもはや普通のことではありません。

開発者は、（ほとんどの場合）壊れたシステムの中で仕事をしています。

悪い」コードを提供した開発者を非難するのは簡単なことです。しかし実際には、開発者の優先順位はセキュリティチームのそれとは大きく異なります。一般的な開発チームは、美しくて機能的なソフトウェアをできるだけ早く作るように言われます。ソフトウェアに対する社会の飽くなき欲求により、開発チームはすでに疲弊しており、セキュリティは第一に考慮されていませんが、結局のところ、そのためにAppSecスペシャリストが存在しているのではないでしょうか。ソフトウェアエンジニアは、セキュリティとの関係がやや冷え切ったものであることに慣れています。問題が発生したときにのみセキュリティ担当者から連絡を受け、その問題が彼らのハードワークの生産を妨げます。

一方、AppSecのスペシャリストは、スキャンや手動コードレビューのたびに出てくる何十年も前のエラーを修正することにうんざりしています。このような専門家は高価で希少な存在であり、彼らの時間は、よく知られたバグを何度も潰すのではなく、複雑なセキュリティ上の欠陥に費やす方がはるかに良いのです。

これらのチームの間では、暗黙のうちに責任のなすり合いが行われていますが、安全なソフトウェアという同じ目標を持っています（あるいは持つべきです）。開発者は、安全なコーディングを成功させるチャンスがほとんどない環境で仕事をしています。セキュリティのベストプラクティスが高等教育の一環として教えられることはほとんどなく、現場でのトレーニングも頻繁に行われないか、まったく効果がないことが多いのです。セキュリティ意識の向上や関連性の高い詳細な教育は明らかに不足しており、その結果、コミットされたコードの古いバグを修正するための天文学的なコストや、評判を落とすようなデータ侵害の差し迫った脅威が発生しています。

ヒューマンファクターとは、「なぜこれらのツールは我々のデータをより安全にしてくれないのか」ということです。

もう1つの問題は、トレーニングの代わりに、膨大な数のセキュリティツールを使用して、ソフトウェアが公開される前に問題を発見するというものです。アプリケーションスキャンおよび保護ツール（SAST/DAST/RASP/IAST）の配列は、確かにソフトウェアを安全に製造するのに役立ちますが、これらには問題があります。それらに完全に依存することは、セキュリティを保証するものではないからです。

• すべてのフレームワーク、すべてのユースケースにおけるすべての脆弱性をスキャンできる「1つの」ツールはありません。
• 特に、静的・動的コード解析を同時に行う場合は、時間がかかることがあります。
• 誤検知は引き続き問題となります。これらはしばしば生産を停止させ、警告の意味を理解するために不必要な手動のコードレビューを必要とします。
• このようなツールを使うことで、安全なコーディングが優先され、何か問題があってもツールが解決してくれるのではないかという誤った安心感が生まれます。

これらのツールは、パッチを当てることができるセキュリティ上の欠陥を確実に発見してくれますが、すべてを発見してくれるでしょうか。100％のヒット率を保証することは不可能ですし、攻撃者はたった1つのドアが開いているだけで侵入し、あなたの一日を台無しにしてしまいます。

ありがたいことに、多くの企業が、ソフトウェアの脆弱性には人的要因が絡んでいることを認識しつつあります。多くの開発者は、セキュアコーディングのための十分なトレーニングを受けておらず、全体的なセキュリティ意識も低くなっています。しかし、開発者はソフトウェア開発ライフサイクルの最前線に位置し、脆弱性がコミットされたコードに混入するのを阻止する絶好のポジションにいます。もし彼らが最初からセキュアなコーディングを行えば、毎年何十億もの犠牲を出している壊滅的なサイバー攻撃に対する防御の最前線に立つことができるのです。

開発者には、彼らの言葉で話し、彼らの仕事に関連し、セキュリティについて積極的に興奮させるようなトレーニングを受けて、成功するチャンスを与える必要があります。バグのないコードは誇りであり、機能的に優れたものを作れば同僚から尊敬されるのと同じです。

最新のセキュリティプログラムは、ビジネスの優先事項であるべきです。

開発チームは、自分たちの力で会社全体のセキュリティ意識を向上させることはできません。ソフトウェア開発プロセスの初期段階からセキュリティを組み込むためには、適切なツール、知識、サポートが必要となる。

MITREのリストに古いセキュリティバグが多数掲載されている場合は、古いトレーニング方法は明らかに機能しませんので、新しいものを試してみてください。なトレーニングソリューションを探しましょう。

• ハンズオン：開発者は、ビデオで話している人を見るのではなく、「やってみて学ぶ」ことが好きです。
• 関連性：日常的にJavaを使用している人にC#のトレーニングをさせてはいけない
• エンゲージメント：一口サイズの学習は消化しやすく、開発者は以前の知識を継続して利用することができます。
• 測定可能であること。単にボックスにチェックを入れて次に進むだけではないこと。トレーニングが効果的であることを確認し、改善のための道筋を作る
• 楽しい。ポジティブなセキュリティ文化をサポートするだけでなく、どのようにしてセキュリティ意識を高めることができるのか、それによってどのようにして団結力のあるチーム環境を作ることができるのかを見てみましょう。

セキュリティは、組織の全員にとって最優先事項であり、CISOは、データをより安全に保つためのあらゆるレベルの取り組みを可視化し、透明性を確保する必要があります。つまり、誰もが同じ古い歌を繰り返し聞きたいとは思わないのです。今こそ、古いバグを永久に潰すことに真剣に取り組む時です。

ビジネスにおいて「成長」というと、ほとんどの場合、指標、収益、資金調達、従業員数など、10年前には考えなくてもよかったようなことが関係してきます。

この記事をそれらの事実や数字で始めることもできました。それらは紛れもなく印象的であり、現在進行中の当社の軌跡は力強いものです。しかし、私にとって、これらの数字は2019年に最も誇りに思うことを反映していません。実際のところ、私たちは、むき出しの財務指標を超えて気にかけてくれる、実に素晴らしいチームを構築しました。私たちは、現在そして未来に向けて、この会社の巨大な心を形成する「成長の芽」を経験しました。

読者の皆さん、このことを説明させてください。

‍

グローバルな全員参加型のチャリティ活動である「Warriors Give Back」プログラムを立ち上げ、シドニー、ボストン、ロンドン、ブルージュなどで12カ月間に10回以上のイベントを推進しました。

• 50人のウォリアーが「Bikes for Tykes」という団体で自転車を製作し、シドニーの恵まれない子供たちにプレゼントしました。
• ボストンの9人のWarriorsは、Cradles to Crayons Giving Factoryでボランティア活動を行い、地元の子供たちが必要としている寄付金の仕分けや束ねを行いました。
• チームメンバーは、ホームレス支援を行うと同時に、暖房も冷蔵もない状態で、手持ちの10ドルだけで1週間分の食事の買い物をするという、ほんの少しの体験をしました。
• ブルージュでは、100人の子供たちにロボット製作、ハッキング、ロックピッキングなどの「サイバースクール」の活動を支援しました。
• ウォリアーズは、クリスマス・ハンパーのためのアイテムを購入し、ウェスリー・シティ・コネクトで困っている子供たちのためのおもちゃを購入しました。
• ロンドンのウォリアーズは、地元の小学校に備品を提供し、学校の環境保護チームと一緒にグラウンドの清掃を行いました。
• TechLadies+the WINGと提携し、無料の履歴書支援や一対一のキャリアコーチングを提供しています。
• 私たちは、年末のお祝いの一環として、ABCD Adopt a Family Programと提携して、地元の困っている家族のためにホリデーギフトを買いました。このサービスは、困っている家族と、ホリデーシーズンや年間を通して家族を支援したいと考えている個人や非営利団体、企業を結びつけるものです。

また、オーストラリアでは記録的な山火事のシーズンとなりましたが、年の瀬も押し迫った頃、私たちは力を合わせてRural Fire ServiceとWIRESに寄付を行いました。何をやっても十分な効果が得られない危機的状況が続いていますが、私はグローバルチームが示した共感に感動しました。

Warriors Give Backのイベントは、人生には評価以上のものがあること、そして恵まれない人の立場に立って努力することで、私たちの心がより豊かになることを、定期的に教えてくれます。ポジティブな文化を維持するには、人間性と謙虚さが重要であり、私たちのチームはあらゆる機会にこれを支持しています。

まだ数字のためにここにいるの？

製品面では、2019年に10の新しい言語フレームワークで1727の新しいセキュアコーディングチャレンジを作成しました。これは当社のエンジニアリングチームにとって大きな成果であり、毎月平均144件の新しい課題を作成し、これまでのどの年よりも多くの課題を作成しました。ユーザーに関しても、いくつかの興味深い数字が浮かび上がってきました。

• 最も人気のある言語/フレームワークはJavaでした。455,973件のセキュアコーディングチャレンジが完了したSpring
• Pseudocodeは予想外のスーパースターで、295,763回のチャレンジが行われました。
• 最も人気のある脆弱性カテゴリーは「インジェクション・フロー」で、これは当然のことです。OWASPトップ10では1位、当社でも1位となっています。

数字で見る私たちの仲間

私はこの会社を始めたとき、将来の成功には多様性が不可欠であることを明確にしました。意見、文化、性別、食生活、人種の違いは、グローバルなスタートアップの魔法の一部なのです。今のところ、私たちのチームは

• 17カ国の国籍
• 男性53％、女性47％の社員
• 9種類以上の食事制限（全員が安全に食べられるものがポップコーンだけということもあった
• 世界中のあらゆる場所で、複数の信仰が存在する。

私は、この活気に満ちたチームを非常に誇りに思っており、それはすべての行動に表れています。

5歳の誕生日を迎え、会社は私の娘と同い年になりましたが、二人の旅の類似性は終わりました。ありがたいことに、娘が健康で幸せな大人になるまで、あと数年は見守ることができます。子供の場合、この年月はあっという間に過ぎてしまいますが、Secure Code Warrior はもう生意気な幼児ではありません。5年前には想像もできなかったほどの速さで、私たちは成人して一人で引っ越さなければならなくなりました。高度成長期の道を歩む覚悟はできていますが、大人の責任者が私であるということにはまだ慣れません。

この記事は以下のサイトに掲載されました。 DevOps.com.更新され、修正されています。

ブロックチェーン」、「ビッグデータ」、「デジタル・ディスラプション」などと同様に、「DevOps」という言葉も、現在、大企業のIT部門で飛び交っているバズワードの一つです。

多くの人が、ソフトウェア開発ライフサイクルの短縮化の必要性を（正しく）認識しています。ビジネス目標に密接に沿った、より正確なプロセスにより、開発チームと運用チームの間で明確なワークフローとコラボレーションが可能になります。DevOpsは本質的に「アジャイル」な開発であり、常に革新的で迅速な展開を行う現代のビジネスのニーズに対応するために成長したものです。セキュリティの専門家にとっても、DevOpsは素晴らしい取り組みです。プロセスにセキュリティを導入することで、バグ修正のコストを削減し、将来起こりうる大惨事を回避することができます。

問題は、DevOpsの導入で本当に成功している企業が少ないことです。ビジネス全体で適切なサポート、育成、理解が得られなければ、すぐに「白い象」のような存在になってしまいます。

では、何が問題なのでしょうか？これは興味深い議論ですが、DevOpsをより円滑に進めるためのアプローチ方法がいくつかあります。効果的なプログラムは、いくつかの派手な新しいツールや肩書き、チームミーティングを超えたものです。常に簡単というわけではありませんが、時間をかけて壊れた戦略を修正する（あるいは最初から正しい方法で導入する）ことは、長い目で見ればはるかに苦痛が少ないはずです。そして最終的には、より高品質で安全なソフトウェアを生み出すことになるでしょう。

それを分解してみましょう。

アジャイル」というエプロンの紐を手放してください。

組織はアジャイルかDevOpsのどちらかを選ばなければならず、どちらかの道に進み、後戻りはできないという誤解があります。実際には、両方を考慮し、1つのものとして実装したときに、開発プロセスは最もうまく機能します。DevOpsは、アジャイル開発の再発明ではなく、むしろその延長線上にあります。プロセスがアジャイルと全く同じであるか、アジャイルとは全く異なるものであるかという期待があると、歯車が狂いがちになります。

アジャイルは、デザイナー、テスター、開発者が最初から一緒に仕事をするクロスファンクショナルチームの原則を支持し、プロジェクト全体を通してオープンなコミュニケーションラインを約束します。アジャイルの目的は、サイロ化したデリバリーを止め、二重処理を減らすことですが、これはDevOpsプロセスの利点でもあります。しかし、DevOpsはさらに一歩進んで、システム、セキュリティ、オペレーションをミックスして、お客様に完全で機能的なソフトウェアを提供することを最終目標とした、堅牢でエンドツーエンドなスキルセットを提供します。

よりDevOpsを中心としたプロセスに移行する際に避けられない苦痛の中で、サイロ化した開発のリスクが再び浮上することがあります。元々のアジャイルチームが一緒に仕事をしていても、セキュリティやオペレーションの担当者がまだ機械の中に入っていないことがよくあります。

DevOpsは、明確に定義された目的、部門を超えたオンボーディング、すべての関係者との直接的なコミュニケーションなしには機能しません。慎重な変更管理を必要とする調整期間があるのは確かですが、DevOps機能がもたらす機能強化について全員が同じ見解を持つことは、戦いの半分です。

最近では（ありがたいことに）、DevOpsはプロセスの一部としてセキュリティのベストプラクティスを重視するようになってきており、このステップを解明し、セキュリティチームとその他の人々との間のギャップを埋めています。前にも述べたように、開発者が最初から安全なコードを書けるようにするには、まだまだ長い道のりがあります。しかし、DevOpsの方法論をうまく導入することは、開発チーム内でセキュリティ・スキルを構築するための優れた基盤となります。

自動化がすべてではありません（そして、最も安全ではありません）。

DevOpsのもう一つの特徴は、ソフトウェア開発プロセスをある程度自動化することです。継続的インテグレーションと継続的デリバリ（CI/CD）の原則は、このコンセプトの基礎であり、推測できるように、非常にツールに依存しています。

ツールは素晴らしいものです、本当に。ツールは、コードリポジトリ、テスト、メンテナンス、ストレージの各要素を比較的シームレスに管理することで、ソフトウェア開発プロセスにかつてないスピードをもたらします。

しかし、いつかはロボットが私たちの仕事を奪い、私たちを投獄するかもしれませんが、まだそこまでには至っていません。ツールや自動化への依存度が高いと、エラーの余地が大きくなります。スキャンやテストではすべてを発見できないかもしれませんし、コードがチェックされないかもしれません。そうなると、セキュリティはもちろんのこと、品質面でも大きな問題となります。攻撃者は、データを盗むためのバックドアを1つ開けさえすればいいのですから、品質とセキュリティの管理に人間の要素が欠けていると、悲惨な結果になりかねません。

ハッピーミディアム」とは、人とツールのバランスをとることです。ツールは、プロジェクトの目標を達成するために、信頼できるチームのアシスタントとしての役割を果たすべきです。そうすべきです。

• 選択したDevOpsツールチェーンに慣れるための十分な時間を確保する。
• 効果的なコラボレーションに焦点を当てる（ツールがどのようにそれをサポートするかについても
• スキルや知識、ツールなど、プロセス上のギャップを解消する。

要するに、ただ「道具をそろえる」だけではダメだということです。

DevOpsはバズワードではなく、文化です。あなたは自分の文化を育てていますか？

チェンジマネジメントは、最高の状態では困難です。

「DevOpsをやろう」と言ってオペレーションチームのデスクを移動させただけでは、魔法のようにプロセスを成功させることはできません。多くの人が混乱し、長く働いているメンバーは不満を感じているでしょう。期待されていることを伝えることは、"歩く "ことと同様に重要です。DevOpsは開発手法と同様に文化的なムーブメントであり、チームはクロスファンクショナルでコラボレイティブなマインドセットを実践しなければなりません。

優れたDevOps文化とはどのようなものでしょうか？

• リーダーだけでなく、個人にも専門知識を提供する権限が与えられている
• チーム間のオープンで、正直で、尊敬に満ちたコミュニケーション
• 開発プロセスに品質とセキュリティを組み込むという全体的な目的に対して、各担当者が責任を持つ
• ビジネスにおけるDevOpsの定義、ロードマップ、各人の役割のhow/what/whyについて、全員が同じ見解を持っています。

私は長年にわたり、開発チームにおいて積極的なセキュリティ文化を構築することの重要性を強調してきましたが、それはDevOpsも同様です。

セキュリティのベスト・プラクティスを達成し、発見された脆弱性を減少させ、データ保護の重要性にチームの目を向けさせるには、適切なツール、知識、サポートが不可欠です。DevOpsでは、ポジティブな変化のための文化的基盤を築く必要があります。つまり、全員が自分の役割、価値、期待、プロジェクト全体の目標、プロセスのステップを理解できるようにしなければなりません。

それはマスターしていますか？素晴らしいですね。次は、針を移動させ、セキュリティ面を強化して、DevSecOpsをソフトウェア・エクセレンスのための究極のプランにしましょう。

2019年6月11日、米国国立標準技術研究所（NIST）は最新のホワイトペーパーを発表し、ソフトウェアの脆弱性とサイバーリスクを低減するためのいくつかのアクションプランを詳細に説明しました。NISTは、「Mitigating the Risk of Software Vulnerabilities by Adopting a Secure Software Development Framework (SSDF)」と題し、データ侵害による厄介な--言うまでもなく高価な--結果を回避するための確かなガイドラインを組織に提供しています。

SSDF は意図的に一般的なものとしており、すべての組織がまったく同じソフトウェア・セキュリティ目標を持っているとは想定しておらず、目標達成のための正確なメカニズムを規定していないことに留意する必要がある。主な目的は、セキュリティのベスト・プラクティスを実施することです。執筆者である Donna Dodson は次のように述べている。「各セキュリティ製作者は、適用可能なすべての実施事項に従うことを望んでいるが、各実施事項をどの程度実施するかは、製作者のセキュリティに関する仮定に基づいて異なることを期待している。このプラクティスは、実装者に柔軟性を提供していますが、解釈の余地が大きくなりすぎないように明確になっています」。

私が特に興味を持ったのは、開発者向けのソフトウェア・セキュリティ・トレーニングに関する具体的な項目でした。ソフトウェア開発プロセスの初期段階から組織を守るためには、開発者に適切なトレーニングが必要であることは以前から知られていましたが、そもそも適切とは何でしょうか。世の中には様々な意見があります。しかし、私は、この問題がようやく大きな成果を生む方向に向かっていると考えています。

セキュリティトレーニングには、効果的なセキュリティトレーニングがあります。

私はこれまで、ソフトウェア・セキュリティ・トレーニングをより効果的に実施し、開発者のニーズに合わせて実施する必要があることを訴えてきました。現在でも、多くの組織では、せいぜい「チェックボックスにチェックを入れる」程度のトレーニングしか行われていません。おそらく、数時間のビデオトレーニングや、ツールを使わずに教室で学習する貴重な時間もあるでしょう。よく知られた（そしてたいていは簡単に修正できる）脆弱性を悪用した攻撃者による大規模なデータ漏洩が毎日のように発生しているという事実は、ソフトウェア・セキュリティ・トレーニングが必要とされるほど効果的ではないことを証明しています。そして、おそらく最も重要なことは、トレーニングが効果的であったかどうかを検証する仕組みがほとんどないということです。例えば、脆弱性の修正が早くなったのか、脆弱性のコードが減ったのか。脆弱性の修正が早くなったのか、脆弱性のコードが減ったのか、実際にトレーニングを完了したのか、それとも「次へ」をクリックして完了したのか。

開発者は、厳しい納期の中で懸命に仕事をしている忙しい人たちです。多くの場合、セキュリティは不便なものであり、サイバーリスクをうまく軽減するための知識を教育の中で身につけることはほとんどありません。セキュリティ」という言葉が出てくるのは、たいていAppSecチームのメンバーが自分たちの仕事の欠陥を指摘するときで、どちらかというと冷たくて機能しない関係になっています。あなたの赤ちゃんは醜いから直しなさい」というシナリオですね。

これは何を意味するのでしょうか？

開発者は、賢く、創造的で、問題を解決するのが好きです。セキュリティの脆弱性に関するビデオを延々と見ても、彼らが興奮したり、興味を持ち続けたりすることはまずないでしょう。SANSのインストラクターとしての経験から、最高のトレーニングは実践的なものであり、脳をテストし、事前の学習を基にした実例を用いて、分析し、知的な挑戦をさせるものであることをすぐに学びました。また、ゲーミフィケーションや切磋琢磨は、新しいコンセプトを皆に理解してもらうための強力なツールであると同時に、有用で実用的なアプリケーションでもあります。

NISTのガイドラインでは"セキュアな開発に貢献する責任のある役割を担うすべての人員に、役割別のトレーニングを提供する。役割別のトレーニングを定期的に見直し、必要に応じて更新すること。"そしてその後"サイバーセキュリティスタッフ、セキュリティチャンピオン、上級管理職、ソフトウェア開発者、製品所有者、およびSDLCに関わる他の人々の役割と責任を定義する」。

この発言は、トレーニングの種類を特定するものではありませんが、組織を左遷し、セキュリティのベストプラクティスを最重要視することに貢献しています。これにより、効果的でより具体的なトレーニングソリューションを見つける責任が企業に戻り、その結果、開発者が成功するための適切なツールと知識を身につけることが期待されます。

文化：ミッシングリンク

組織が開発者やその他の主要スタッフのトレーニングに時間とリソースを費やし、脆弱性の防止やセキュリティリスクの低減における開発者の役割に重点を置いていたとしても、組織のセキュリティ文化が根本的に壊れたままであれば、その努力は無駄になることが多い。

個人が効果的なトレーニングを受け、目標が設定され、期待されることが明確であれば、セキュリティ環境における自分の立場を理解し、必要に応じて責任を負うことがはるかに容易になります。特に開発者の場合は、最初から安全なコードを書くためのツールと知識が与えられています。しかし、これは、二重処理や責任のなすり合い、サイロ化したプロジェクト作業が少ない、積極的なセキュリティ環境の中で、最も効果的に行われます。

優れた安全なソフトウェアを提供するためには、組織全体でセキュリティを最優先に考え、協力的に取り組んでいかなければなりません。そのためには、実際のコードの脆弱性を利用した楽しく魅力的なトレーニングを展開するための十分な予算が必要であり、その勢いを維持するために組織全体の賛同を得る必要があります。常に進化し続けるデジタル社会では、トレーニングもデリバリーと同様に継続的でなければなりません。これまで、「1回限りのトレーニング」や「設定したら終わり」のコンプライアンストレーニングが適切で効果的であると言われてきましたが、それは間違いです。

この新しいNISTのフレームワークでは、積極的なセキュリティ文化を育むための要件は特に明示されていませんが、ガイドラインをうまく順守するためには、確実にセキュリティ文化が必要になります。ただし、「開発者が従うべき安全なコーディング方法を含め、組織のソフトウェアが満たすべきセキュリティ要件を規定したポリシーを定義する」べきであるとしています。

以上のことは、チーム内のセキュリティスキルを向上させるために不可欠であり、自社のポリシーや現在のAppSecの状況を評価する際には、以下のことを考慮するとよいでしょう。

• ソフトウェアセキュリティのガイドラインと期待値が明確に定義されているか
• それらを達成するための役割を全員が明確にしているか？
• トレーニングは頻繁に行われ、評価されているか？
• 開発者は、一般的なセキュリティバグを未然に防ぐために、自分たちが果たすべき大きな役割を認識していますか？

さて、最後の部分は、先に述べたように、組織とその選択するトレーニングに大きく依存しています。関連性があり、頻度が高く、魅力的なものでなければなりません。日々の仕事に応用できるソリューションを見つけ、文脈に沿って知識を身につけていく。

どうする？

ほとんどの企業が必要としている鉄壁のセキュリティを備えたソフトウェアを、可能な限り安全な方法で作成、検証、導入するには、本当に多くの人が必要なのです。また、トレーニングだけではありません。サードパーティ製ソフトウェアを使用する際に考慮すべきガイドライン（既知の脆弱性を持つコンポーネントを使用することは、OWASPのトップ10に依然として入っています）、検証、侵入テスト、コードレビューに関する提案、さらにはセキュリティの記録管理や適切なツールチェーンなどのガイドラインがあります。全体像を把握するための実用的な洞察は、NISTの文書の中で参照されているGary McGraw博士のBSIMMモデルにあります。

しかし、開発者に正しいツールと知識を与え、最初から安全なソフトウェアを構築することに成功すれば、最も早い勝利を得ることができます。一般的な脆弱性がSDLCの後の段階で何度も出てくるのを防ぐことは、ビジネスにとってより安く（そして全体的に早く）なります。彼らの強みを活かして、組織のセキュリティ面に関与するインセンティブを提供しましょう。彼らは、悪者を排除し、私たちのデータを安全に保つために必要なヒーローになることができるのです。

リファレンス

1. SSDFを採用することでソフトウェア脆弱性のリスクを軽減する（2019年6月11日）,ページ 2.
2. SSDFを採用することでソフトウェア脆弱性のリスクを軽減する（2019年6月11日）」、5ページ。
3. SSDFを採用することでソフトウェア脆弱性のリスクを軽減する（2019年6月11日）」、4ページ。

今月初め、私は美しいメルボルンで開催されたOWASP AppSec Day 2019に参加する機会を得ました。このような開発者向けのイベントは、カレンダーの中でも最も好きなものの1つです。ソフトウェアエンジニアやスペシャリストを教育し、彼らの仕事にセキュリティを取り入れられるようにするために、たゆまぬ努力を続けているコミュニティの存在を、謙虚に思い起こさせてくれます。

ゲストのラインアップはセンセーショナルで、爽やかで多様性に富んでいることは言うまでもありません。この業界に何年も身を置いていても、私も刺激を受けて帰ることができるというのは素晴らしいことです。ターニャ・ヤンカ、トニ・ジェームズ、テリー・ラディケルは素晴らしいプレゼンテーションを行い、ワイヤグールのエルダー・マークセンはその場で安全なコーディングに挑戦し、会場全体を驚かせましたが、参加者のセキュリティに対する意識の高さを目の当たりにすることができたのは素晴らしいことでした。

今年、Secure Code Warrior はこのイベントのプラチナ・スポンサーでした。ちょうど4年前、スタートアップの私たちに無料のブースとプロモーションを提供してくれたのは、OWASP AppSec Dayのチームだったことを思い出して、思わず笑ってしまいました。会社としてどれだけ進歩したかを誇りに思うと同時に、このような素晴らしい人々の寛大なコミュニティが存在することに感謝する瞬間でもありました。

トニ・ジェームズ開発者の視点から見たセキュリティ

この世界でもっと育てなければならないものがあるとすれば、それは「共感」です。ソフトウェアをより安全にするためには、開発者の苦境を理解することが不可欠なのです。

トニのプレゼンテーションはとても楽しく、すべての開発者にとってすぐに共感できるものだったと思います。単に「安全なコードを書け」というだけではなく、もっと多くの話があります。私は確かに、セキュリティに関する効果的なトレーニングを受けた開発者は、脆弱性と戦うための最良のチャンスだと信じていますが、彼らの日々の課題を考慮することは不可欠です。

ソフトウェア開発者の仕事は、何百万人ものユーザーに公開され、重要なインフラを支え、私たちが当たり前のように利用しているサービスの原動力となることがあります。機能構築、ビジネス革新の実行、無駄のない納品期限の厳守など、多くのプレッシャーがありますが、それはAppSecチームが大きく立ちはだかり、彼らのハードワークをバラバラにしてしまう前の話です。トニは、このような環境での生活がどのようなものであるか、また、すべての立場の人が共感することで、はるかに優れたプロセスとセキュリティの成果が得られることを語りました。開発者とAppSecチームの間のギャップを埋めるために、このような健全な取り組みが行われていることを非常に喜ばしく思います。結局のところ、これは前向きで繁栄するセキュリティ文化の重要な要素であり、トニはこのプロセスが信じられないほどうまく機能している典型的な例です。

Tanya JancaとTeri Radichel：セキュリティ・スーパーヒーロー

競うわけではありませんが、Tanya JancaとTeri Radichelのカンファレンスでの貢献は私のお気に入りのひとつです。クラウドのセキュリティ評価をDIYで行うというチュートリアルの10分後には、彼らの驚くべき幅広い経験、資格、専門知識だけでなく、知識を共有して開発者コミュニティをサポートしたいという純粋な温かさが伝わってきました。彼らは一緒に、セキュリティポリシーの設定や最小特権の対策に関する実践的なアドバイスなど、Azureの実装の安全性を確保するための現実的で実行可能なアクションを提示しました。

彼らは、草の根レベルで開発者をサポートするために、豊富な無料のリソース、指導の機会、ソフトウェアセキュリティの楽しく魅力的な側面を促進するためのインタビューなどを行っており、Googleで検索すれば、その献身ぶりがわかるでしょう。次に参加するセキュリティカンファレンスで彼らが講演するとしたら、そのセッションを見逃すわけにはいかないでしょう。

大舞台に立つクライアント

多くのお客様が参加されただけでなく、ステージに立ってセキュリティに関する豊富な知識を披露されていたのは素晴らしいことでした。

Telstra社のAndrew Bailey氏が「Adding the "Sec'to DevOps"」という重要な講演を行っているのを見ることができました。シニア・ソフトウェア・エンジニアとしての豊富な経験を活かし、アプリケーション・セキュリティとセキュア・コーディングに焦点を当てた彼の講演は、非常に優れた内容でした。彼は、SDLCのすべての段階でセキュリティを導入するためのエンド・ツー・エンドのヒントを提供しました（もちろん、最初の段階で、より多くの開発者にセキュアコーディングのトレーニングを行うことも含みます）。

ケン・ジョンソンはGitHubのセキュリティチームに所属しており、カンファレンスの最後に行われた専門家によるパネルディスカッションに参加してくれました。彼は、他のパネリストとともに、メディアでは必ずしも注目されていないような質問も含めて、聴衆からの差し迫った質問に喜んで答えていました。彼は、業界についてのいくつかの洞察とともに、ウェルビーイングとワークライフバランスの重要性についてパネルで議論しました。これは、開発者の燃え尽き症候群の時代には非常に重要なことです。

ジュリアン・バートン氏をはじめとするOWASPメルボルンチームの皆さん、今回も素晴らしいカンファレンスを開催していただき、本当にありがとうございました。来年、またお会いしましょう（ステッカーをたくさん用意して）。

サイバーセキュリティ・コンプライアンス」という言葉が何年も前からトレンドになっているように感じます。巨大で複数の脅威を持つサイバー犯罪に世界がどのように取り組むべきかを議論する記事やイニシアチブ、委員会が後を絶ちません。

問題は、それほど 進歩しているようには見えないことです。世界的に見ても、データ漏えいのコストは着実に増加しており、5年間で12％増加し、2019年には1件あたり約392万米ドルになると言われています。わずか数十年の間にインターネットが爆発的に普及したため、多くの企業は防具なしで戦うことになりました。急速にオンライン化を進め、店舗を構え、安全でないソフトウェア、限られたAppSecリソース、そして場合によっては顧客の信頼を悪用したことによる影響に対処しなければなりません。

最近では、議論の余地なく成熟しています。企業は、サイバー攻撃が顧客の感情や評判、収益に与える影響を十分に認識しており、多くの場所で、コンプライアンス研修や熟練した人材の採用、そして最近ではDevSecOpsの取り組みを通じて、ソフトウェアセキュリティの向上に積極的に取り組んでいます。このような大きな飛躍にもかかわらず、私たちは戦いに勝利しているわけではありません。2019年だけでも、データブリーチで少なくとも40億件の記録が盗まれています。

これまでは、サイバーセキュリティの基準や期待値、違反した場合の影響などについて、政府レベルでの理解がやや遅れていました。GDPR の登場により、少なくとも欧州では一部の企業が動き出していますが、多くの政府機関は今になってようやく追いついてきたところであり、新たに生まれたコンプライアンスの取り組みに迅速に対応しなければならないという状況は、将来的に望ましくない影響を及ぼす可能性があります。

愚か者は（間違ったトレーニングに）突入する

NISTの強力なガイドライン、ニューヨーク州の新しい規制、英国のサイバーセキュリティカウンシルの設立は、いずれも私たちのデータを安全に保つために善戦している人々にとって記念すべき勝利です。これらのガイドラインは、現在のソフトウェア開発における問題点を認識し、セキュリティのベストプラクティスという観点から、倫理的でコンプライアンスを遵守しているとみなされるために、組織が満たすべき基準を導くための措置を講じています。

残念ながら、現段階では、最も重要な要素のいくつかは、少し解釈の余地があります。例えば、英国のサイバー・セキュリティ・カウンシルの法制化におけるマンデートの一つは

"すでに実施されているキャリアパスウェイの作業を基に、定義された認定資格のリストと、それらがどのように関連し、どのような能力をもたらすのかについて、理解しやすい枠組みを作ること」。

このような取り組みは、時間の経過とともに改善され、成長していくことは間違いありませんが、組織が今すぐパニックボタンを押してトレーニングに飛びついてしまうと、将来に備えて準備ができていないことになりかねません。

組織におけるサイバーセキュリティの要求は急速に変化しており、静的なトレーニングソリューションでは、必要とされる速度で安全でないソフトウェアの流出を食い止めることはできないでしょう。従来のコースでは更新できないほどの速さで状況が変化するため、一部の場所では「箱に書いてあることを実行する」コンプライアンスの罠に陥り、開発者、請負業者、その他のセキュリティ専門家は適切なトレーニングを受けられず、私たちはまたカモにされてしまうのです。

静的トレーニングと静的ツールは同じ問題を抱えている

静的解析ツールは、SDLCに欠かせないものであり、ほとんどの大企業では、希少で過労気味のAppSecの専門家のために、スキャンの主力製品としてその役割を果たしています。静的解析ツールは良い仕事をしていますが、欠点があります。膨大な種類のプログラミングフレームワークに対応し、すべての脆弱性をスキャンできる「1つの」ツールはありません。また、その作業には時間がかかり、たった1つのセキュリティバグが隙間に入り込むだけで、攻撃者にドアを開けてしまうことになるのです。

静的なトレーニングにも同様の問題があります。開発者がセキュリティ・トレーニングを「1回限り」の厳格なコースとして受けた場合、その期間に最も普及しているセキュリティ問題に追いついていない可能性が高い。また、受講者が希望する言語やフレームワークで提供されることはほとんどなく、受講者が日々の仕事で直面する可能性の高い脆弱性との関連性もありません。何ヶ月も前に見たビデオから、関連する情報を1つでも思い出そうとすることを想像してみてください。その一方で、納品期限を守り、コードを出力しようとすることもあるでしょう。

多くの業界で従来の教育方法が見直されていますが、開発者向けのセキュリティトレーニングに関しては、いまだに発生している大量のデータ漏洩（特にSQLインジェクションのように、何十年も前からコーディングで回避する方法がわかっている脆弱性に起因するもの）を見るだけで、別の方法を試さなければならないことがわかります。

私たちは、単一の直線的なコースの枠を超えて、サイバーセキュリティのベストプラクティスの刻々と変化するニーズに柔軟に対応できるトレーニングを必要としています。

ダイナミック・トレーニング：ゴールド・スタンダード

ビジネス、個人のスキルレベル、一般的な業界の動きに合わせて迅速に形を変えることができるダイナミックなトレーニングソリューションを開発者に提供することで、安全にコーディングし、セキュリティを最優先し、セキュリティを意識して行動するための最良の基盤を提供することができます。

残念ながら、コンプライアンスのために効果のないプログラムを衝動買いしてしまうことになりかねません。つまり、コンプライアンスのために効果のないプログラムを衝動買いしてしまう可能性があるということです。導入する前から時代遅れになっていたり、日常業務のニーズにほとんど対応できていない可能性もあります。

ダイナミックトレーニングとは、常に更新され、日々のニーズに即した文脈を持ち、ユーザーに批判的な思考をさせ、実際にスキルを学び、問題を解決する力を与える、生きたツールです。

では、セキュリティの観点から見たダイナミックなトレーニングプログラムとはどのようなものなのでしょうか。

なってしまいます。

• 一口サイズ。開発者は、長々としたトレーニングデッキやビデオよりもはるかに覚えやすく（そしてさらに重要なことに、適用しやすい）、管理しやすいチャンクでスキルを学ぶことができます。
• 関連しています。 開発者が主にJavaでコーディングしているときに、例えばC#で例題が出てくるような一般的なセキュリティ・トレーニングに何の意味があるでしょうか。どのようなトレーニングであっても、開発者の役割に直接適用し、コードを書く際に何を発見し、修正すべきか（理想的には最初から避けるべきか）を確認できるようにする必要があります。
• 現在： これは当然のことのように思えますが、多くの場合そうではありません。サイバーセキュリティの状況は刻々と変化しており、コードが増えれば増えるほど責任も重くなります。開発者が最初の防衛線となるためには、最新のセキュリティのベストプラクティスに沿ったトレーニングが必要です。
• 魅力的です。 開発者にとって、「セキュリティ」が面倒なものであることは周知の事実であり、特にクリエイティブな作業の妨げになる場合はなおさらです。適切なトレーニングは、巨大なリスクに発展する可能性のある日常的なセキュリティ問題を解決する上で、開発者が持つ力を示し、責任感とセキュリティ意識を持つ文化を構築します。
• 楽しさ ダイナミックなトレーニングは退屈なものではありません。開発者が好きなものは何かを考えてみましょう。問題を解決すること、仲間と競い合うこと、そして多くの社会人がそうであるように、報酬や評価を得ることです。開発者の強みを活かし、最高の結果を出すことに集中しましょう。

ソフトウェア・エンジニアは、デジタル・イノベーションに欠かせない存在であり、素晴らしい企業の設立に貢献し、さらには自らの創造物で世界を席巻することもある、エキサイティングな時代です。しかし、政府機関や大企業は、ソフトウェアセキュリティの基準を設定する上で果たすべき役割を認識しており、官僚的なチェック作業ではなく、安全なコーディングへの愛情を育む、効果的でダイナミックなトレーニングソリューションで彼らをサポートすることが重要です。

It takes a village "という言葉は、アフリカに古くから伝わることわざで、アフリカの様々な文化、方言、地理的な場所で使われています。将来の世代を豊かな大人に育てるためには、安全で、前向きで、啓発的な環境をコミュニティ全体で作り上げる必要があります。

しかし、開発者コミュニティは何十年にもわたってこの原則に基づいて発展してきました。反社会的な「一匹狼」のオタクがコンピュータに向かっているという概念は、多くのステレオタイプと同様、誇張されたものであり、我々がどのように活動しているかを知るための最良の方法ではありません。開発者には様々なタイプ、様々な職業の人がいて、私たちの活動には常にコミュニティの意識があります。

インターネットが一般的になるずっと前から、私たちは掲示板でヒントを共有したり、問題を解決したり、ベストプラクティスをめぐって口論したりしていました（そして、私の側では、物を壊すことに一生懸命でした）。この気持ちは今も変わっていません。しかし、RedditやStack Overflowのような場所に飛び込めば、助け合いの精神や仲間意識、そして豊富な情報をすぐに感じることができます。

しかし、私たちが支援できることのひとつは、同じことを経験している人たちとの現実世界でのつながりです。リアルな世界での交流には新たな意味があります。「IRL」コミュニティを促進することで、知識の共有や明確化が促進され、素晴らしい方法で視野を広げることができます。

開発者コミュニティはどのようにセキュリティをサポートしていますか？

OWASPのような組織は、脆弱性、ニュース、および重要な警告に関する豊富な無料のリソースを提供し、セキュリティ・コミュニティにおいて素晴らしい活動を行っています。オフラインでは、世界中の都市にOWASPの支部があり、人々が集まってセキュリティについて話し合い、ソフトウェアをより安全にするためのヒントを共有するイベントを定期的に開催しています。これは本当に素晴らしいことで、私にとっては、開発コミュニティとは何かということを教えてくれます。

オンラインでも対面式でも、このようなコミュニティは、開発者間のスキルや知識のギャップを解消するのに役立ちます。経験豊富な開発者の多くは、情報を伝えたり、誰かが始めるのを手伝ったり、正しい方向を示したりすることに喜びを感じています（優れたジェダイは、たまにはパダワンを助ける必要があることを知っています）。

そのため、セキュアコーディングtournaments のようなイベントを開催するために、彼らとパートナーを組むことができるのは、本当に嬉しいことです。これまでに、オーストラリア、イギリス、インド、アメリカで開催されたミートアップをサポートしてきましたが、これからもたくさんのミートアップが開催されることを願っています。

OWASPtournament のミートアップはどのようなものでしょうか？ロンドンの象徴的な BBC スタジオで開催された OWASPtournament のビデオをご覧ください。

このようなイベントは認知度を高めるのに役立ち、この勢いは、組織内で、このような草の根活動を支援し、本格的なセキュアコーディングトレーニングを導入し、積極的なセキュリティ文化の運用を約束する際に活用することができます。

ゲーミフィケーションとtournaments は、より安全な開発者を生み出すのにどのように役立つのでしょうか？

OWASP ミートアップは、セキュリティに関心のある幅広い層の人々と交流し、知識を共有し、アイデアを議論することを目的としています。しかし、セキュリティに慣れていない（あるいは、まだ興味を持っていない）人にとっては、これらのイベントは注目されないかもしれません。

組織がセキュリティ意識の構築に積極的な役割を果たし、開発者集団の間で実際に関心を持たせることができれば、セキュリティに関する知識を生涯にわたって探求する姿勢を身につけるというプラスの効果が期待できます。これは、誰もが安全なコーディングに真剣に取り組むようになるために必要なことなのです。

一般的なトレーニング方法では、大きなモチベーションを得ることはできませんが（教室に座って仕事が山積みになったり、延々と続くビデオを見て眠らないようにしたりすることを想像してみてください）、競争心や楽しさ、そしてプロセスをゲーム化することで、学習をずっと苦にならないものにすることができます。ゲーム化された学習方法は、技術的な知識（時には乾いた知識）をはるかに消化しやすくし、文脈に沿って記憶に残り、繰り返し学習することを可能にします。Secure Code Warrior は、アクセシビリティの基礎の上に構築されており、開発者が創造性や問題解決のための一般的な本能を示す方法で、以前の学習内容を段階的に追加していくことができます。

評価は、全員が軌道に乗り、改善すべき点を明らかにするのに役立ちますが、セキュアコーディングtournament は、組織のセキュリティ意識を高め、前向きな変化をもたらす触媒として、また、参加者が自分の強固なスキルを披露する手段としても役立ちます。結局のところ、tournament のリーダーボードがリアルタイムで更新されているのを見ると、より多くのポイントを獲得して、自分のセキュリティ能力を大いに発揮しようという意欲が湧いてくるのです。

tournament を成功させるにはどうすればいいのでしょうか？

OWASPとのミートアップの目的は、常にセキュリティ・コミュニティの継続的な健全性に投資し、セキュリティについて学ぶことは実際に楽しいことだという概念を広めることにあります。

セキュアコーディングtournaments は、開発者を惹きつけ、志を同じくする人たちとの社会的環境の中でスキルを磨き、実現するためには当然のことです。また、仕事や教育の場での不愉快な経験から、「セキュリティ」という概念の周りに存在する人工的な壁を取り除くことができます。

真に優れたtournament は、一般的に以下のように構成されています。

• 開発チーム以外の人々に、何が起きているのか、なぜ起きているのかを知ってもらうために、組織内で少しずつファンファーレを行う
• すべてのレベルの開発者をサポートする、批判のない環境
• 特別な特典として、食べ物や飲み物を注文したり、テーマを決めて自己表現を促したりすることができます。
• 報酬と表彰：私たち開発者はグッズが大好きで、受賞者には素敵な賞品が用意されています：このプロセスの中で、将来のセキュリティチャンピオンが発掘されるかもしれません。
• コミュニティや仲間意識を持つことができる。

ソフトウェア開発プロジェクトの初期段階からセキュリティに焦点を当てるようになった今、開発者は効果的なトレーニングを受けて早期に関与する必要があります。開発者は、コードが書かれた瞬間から組織を脆弱性から守るために不可欠な存在であり、活発なセキュリティ文化の中では、誰もが安心して活動することができます。