7月13日、当社はシリーズC資金調達ラウンドの終了を発表し、5,000万米ドルを調達した。これは、当社のミッションの次の段階に向けたもので、より多くの先駆的な組織が、一般的な脆弱性を阻止するために開発コホートの力を活用できるよう支援するものである。 

市場をリードする当社のアジャイル学習ツール・スイートは、開発者の安全なコーディング・スキルを向上させるだけでなく、開発者の働き方、学習方法、スキルアップの機会への取り組み方など、開発者の半歩先を満たすことに揺るぎない重点を置いて構築されています。今回の資金調達により、私たちの素晴らしいチームの活動は、製品ロードマップで達成すべきエキサイティングな新しいマイルストーンとともに、確実に継続できるようになります。

政府の規制により、ほとんどの組織でセキュリティ文化の激変の必要性が指摘される中、開発者のスキルアップを早急に開始する企業にとって、将来はどのようなものになるのだろうか。

アジャイル学習で脅威の柔軟性を保つ

中国の伝説的な哲学者である孔子の最も有名な言葉のひとつに、「風にそよぐ青葦は、嵐に折れる大樫よりも強い」というものがある。テクノロジーが猛烈なスピードで進歩し、陰湿なサイバー脅威がかろうじて一歩遅れているこの現代において、組織は静的な教育ソリューションで時間を浪費する余裕はない。サイバーセキュリティの教科書が印刷される前に古くなってしまうことは前代未聞のことではなく、教室ベースの堅苦しいcourses は、セキュリティの問題が明るみに出たときに、その問題に対する最善のテクニックやアプローチを紹介するためにピボットするようには設計されていません。 

Secure Code Warrior は、開発者向けセキュリティ教育のマーケットリーダーであり続け、アジャイルアプローチを活用して開発者を育成し、明日の最高水準のエンジニアに育て上げます。当社のlearning platform 、開発者優先のツールにより、よりダイナミックに、現在の脅威と、これらの問題が発生した場合の最も効率的な修正方法と歩調を合わせることができます。教育ソリューションのルーツが一箇所に根ざしている場合、開発者をスキルアップする際に「風を切る」ことができず、教育者と生徒の両方がフラストレーションを感じ、脆弱性修正の成功率がはるかに低くなります。 

ガートナー社によると、2025年までに大企業の70％がアジャイル 学習アプローチを採用するという。マイクロラーニング、継続的な改善、最も適切なビジネス目標とセキュリティの成果のために活用できる重要な知識の構築へのこのシフトには、計り知れない力がある。しかし、それには現状に挑戦することが必要である。企業は、スキルよりもストレスレベルを上昇させるような、余分で単調な追加ではなく、日常業務の一部として教育ニーズを調整することにコミットしなければならない。 

クラス最高のアジャイルラーニングを提供するための能力とリーダーシップの拡大

将来を見据えた企業のお客様にクラス最高のアジャイルラーニングツールをお届けするための取り組みの一環として、この度、リーダーシップチームを拡大したことを発表いたします。Impervaの最高顧客責任者であるナンヒ・シンを取締役に任命し、さらにパトリック・コリンズを新しい最高製品・技術責任者に任命しました。 

賢明な企業は、サイバーセキュリティに特化した実践的な学習には「一長一短」のアプローチがないことを強く認識しており、開発チームに複数の学習パスを提供する能力を求めています。私たちは、アジャイルなlearning platform 、Coding Labsによるリアルタイムフィードバックオプションを含む絶え間ない拡張と体験の流れを通じて、可能な限り最も魅力的で広がりのある学習環境を構築することで、日々これを実現しています。当社のジャスト・イン・タイム方式は、関連性のないモジュールやcourses に時間を費やすことなく、最も必要な時に適切な情報を提供することを保証します。 

このような現実は、チームメンバーの揺るぎないコミットメントと、投資家の皆様からの変わらぬ信頼と信用がなければ実現しなかったでしょう。アジャイルで学ぶ機会は無限にあり、これから数ヶ月間、間違いなくかけがえのない貢献をしてくれるであろうナンヒとパトリックを迎えることができ、これほど嬉しいことはありません。

この記事の一版は ダークリーディング.この記事はDark Readingに掲載されたものを更新し、ここにシンジケートされています。

‍

文化を揺るがすような最新のAIツールの宣伝が鳴り響いた当初から、開発者やコーディングに関心のある人たちは、ボタンを押すだけでコードを生成できるAIツールを利用してきた。セキュリティの専門家たちはすぐに、多くの場合、生成されるコードは質が低く脆弱であり、セキュリティ意識の低い人たちの手にかかると、安全でないアプリやウェブ開発が無防備な消費者を雪崩のように襲う可能性があると指摘した。

そして、セキュリティに関する十分な知識を持ちながら、それを悪用する者もいる。AIが驚異的な偉業を成し遂げるたびに、同じ技術が悪意のある目的に使われるというカウンターパンチがあるようだ。フィッシング、深い偽の詐欺ビデオ、マルウェアの作成、一般的なスクリプトの悪ふざけ......これらの破壊的な活動は、参入障壁が低く、はるかに速く達成可能である。

確かに、このツールは革命的だ、あるいは少なくとも「平均的な」人間のスキルとマッチさせれば優位に立てる、と宣伝するクリックベイトがたくさんある。LLMスタイルのAI技術が、ソフトウェア開発だけでなく、仕事の様々な側面へのアプローチ方法を変えることは避けられないように見えるが、我々は一歩引いて、見出しを超えたリスクを考慮しなければならない。 

そしてコーディングの仲間として、その欠点はおそらく最も "人間的 "な特性だろう。

貧弱なコーディング・パターンがソリューションの大半を占める

ChatGPTは、何十年にもわたる既存のコードと知識ベースに基づいて訓練されているため、その驚異と謎のために、コードをナビゲートするときに人々が直面するのと同じ一般的な落とし穴に悩まされることは驚くことではありません。セキュリティ意識の高いドライバが、適切な質問と適切なプロンプトエンジニアリングを提供することで、安全なコーディング例を生成します。 

Mike Shema氏が発見したように、このテクノロジーは幻覚を起こしやすく、特定のJSON操作の実行を要求されると、存在しないライブラリをでっち上げることさえある。このため、ChatGPTが自信を持って推奨する偽装ライブラリを装ったマルウェアを喜んで作成するような、脅威アクターによる「幻覚スクワッティング」が発生する可能性があります。

結局のところ、私たちは、一般的に、開発者が十分にセキュリティを意識することを期待しておらず、業界として、デフォルトの状態として安全なコードを書くように十分に準備してこなかったという現実に直面しなければなりません。このことは、ChatGPTに投入される膨大な量のトレーニング・データを見れば明らかであり、少なくとも当初は、ChatGPTの出力からセキュリティに関する同様の結果が得られることは期待できない。開発者は、セキュリティのバグを特定し、自分自身で修正するか、より堅牢な結果を得るためにより良いプロンプトを設計しなければならないだろう。

スタンフォード大学の研究者が実施した、ユーザーがAIコーディングアシスタントとどのように対話し、様々なセキュリティ関連機能を解決するかを調査した初の大規模ユーザー研究は、この考えを裏付けるものであり、ある観察結果は次のように結論づけている：

"AIアシスタントにアクセスできる参加者は、コントロールグループの参加者に比べて、プログラミングタスクの大半でセキュリティの脆弱性を導入する可能性が高く、しかも安全でない回答を安全であると評価する可能性が高いことが観察された。"

これは、AIコーディングツールの出力が、実際にはそうでないにもかかわらず、常に本質的に安全なコードを生成するものとして、デフォルトで信頼されていることを物語っている。

このような脅威と、今後私たちの未来に浸透するであろう避けられないAIを媒介とする脅威の間で、開発者はこれまで以上にセキュリティのスキルを磨き、その起源を問わずコードの品質に対するハードルを上げなければならない。

データ流出事故への道は善意で舗装されている

特に、開発者が責任の増大や厳しい納期に直面し、企業のイノベーションという野望を肩に担わなければならなくなる中で、AIコーディングコンパニオンが人気を博しているのは当然のことだろう。しかし、たとえ最善の意図があったとしても、AIをコーディングに使用する際にセキュリティに対する認識が不十分であれば、目に余るセキュリティ上の問題が発生することは避けられません。AI/MLツールを使用するすべての開発者は、より多くのコードを生成することになり、そのセキュリティ・リスクのレベルは開発者のスキル・レベルに依存することになる。組織は、訓練を受けていない人がコードを生成するスピードは確かに速くなるが、技術的なセキュリティ上の負債を抱えるスピードも速くなることを痛感する必要がある。

ChatGPTの予備テスト（2023年4月）でさえ、壊滅的な結果をもたらす可能性のある非常に基本的なミスを生成することが明らかになりました。PHPでMySQLデータベースを使用したログインルーチンを構築するよう依頼したところ、機能的なコードはすぐに生成されました。しかし、デフォルトではパスワードを平文でデータベースに保存し、データベース接続認証情報をコードに保存し、SQLインジェクションを引き起こす可能性のあるコーディングパターンを使用しました（ただし、入力パラメータにある程度のフィルタリングを行い、データベースエラーを吐き出しました）。どのような手段を使っても、すべて新人のエラーである。
‍

‍
さらに注意を促すことでミスは修正されたが、軌道修正にはかなりのセキュリティ知識が必要だ。もしこのコードが機密性の高いインフラを構築したり、個人データを処理したりするのであれば、時限爆弾を見るようなものだ。

もちろん、ジュニア開発者が時間とともに間違いなくスキルを向上させるように、AI/MLの能力も向上していくことが予想される。年後、AIはこのような明白で単純なセキュリティミスを犯さなくなるかもしれない。しかし、そのことは、より深刻で、隠れた、自明でないセキュリティ・エラーを追跡するために必要なセキュリティ・スキルを劇的に向上させる効果がある。

セキュリティの脆弱性を発見し、修正する準備が整っていない。

現状では、私たちが遭遇し慣れているセキュリティ・バグに対する準備はできていません。ましてや、プロンプト・インジェクションや幻覚スクワッティングのようなAIに起因する新たな問題は、野火のように燃え広がるまったく新しい攻撃ベクトルです。AIコーディング・ツールは、開発者のコーディング兵器の未来を象徴しているが、これらの生産性の武器を安全に使いこなすための教育は、今すぐにでも必要だ。

‍

安全なコードトレーニングにアジャイル原則を適用する時が来た

ほとんどの組織におけるセキュアコード・トレーニングの従来のアプローチは、始まりと終わりがはっきりした、ある時点だけの訓練として扱っている。デジタル時代においてビジネスがますます高速化するにつれ、これではもはや十分ではありません。あらゆる種類の組織が、開発者の日常業務に組み込まれた継続的な学習戦略を採用する必要がある。新しいセキュリティ・スキルを採用することは一つの答えだが、このような人材は不足しており、このアプローチは拡張性がない。ソフトウェア開発においてアジャイルプラクティスがウォーターフォールアプローチを追い越したように、アジャイルは今や開発者のセキュリティトレーニングに革命をもたらしつつある。ソフトウェアにおけるアジャイルの利点は、作業を小分けにし、スプリントを次のスプリントと重ね合わせることで、継続的かつ反復的なサイクルの中で、速いスピードで確実に成果を出すことである。同じように、セキュアコードのためのアジャイル学習は、消費可能な小さな断片に分割され、徐々に階層化され、反復的な方法で開発者のワークフローの中に緊密に統合される。アジャイルでは、開発者はより効果的に学習し、セキュリティスキルをより早く内面化し、よりセキュアなコードをほぼ即座に書くことができる。  

従来のセキュリティ・トレーニングと安全なコードのためのアジャイルLearning Platform 。

アジャイル・ラーニングとは、人々が知識をより迅速かつ効果的に内面化するための、一連の価値観と原則のことである。ガートナー社は、アジャイル・ラーニング・マニフェスト（下図1）の中で、4つの価値と8つの原則を定義している。

この4つの価値観は、社員研修についての新しい考え方を表している。仕事の統合された一部としての学習は、ビジネスの成果、成長マインドセット、リアルタイムの埋め込み型トレーニング、コミュニティの複合化に価値を置く。これらのバリューは、ラーニング・イニシアチブの北極星として、また8つの原則のフレームとして機能する。

1. 学習から収益へ： 企業の財務目標や能力ニーズと、開発者のスキルアップを結びつける。 
2. モチベーションの向上： 開発者がキャリアアップのために応用できる、効果的なセキュリティスキル構築プラットフォームへのアクセスは、開発者の学習意欲を高める。
3. ジャストインタイムのマイクロバースト： 2分から25分の学習コンテンツがその時々に提供されるため、開発者は関連性のある使えるスキルを身につけることができます。
4. ダイナミックな経路： セキュリティコンテンツをさまざまな形式で提供し、開発者は学習スタイルに最適なモードでセルフサービスを行うことができます。
5. 段階的なレイヤリング： 基本的なセキュアコードの概念を習得した後、より高度な知識と実践を行う。
6. 価値提供のフロー： セキュアコードのコンセプトは、開発者がすでに使用しているツールやスペースに組み込まれているため、トレーニングを受けるために仕事を離れる必要はない。
7. データ主導、AI対応： テクノロジーがレッスンを動的に適応させ、学習内容をパーソナライズすることで、開発者は常に学習状況を把握できるようになり、教室では決して得られないカスタム体験を得ることができる。 
8. 社会的増幅：セキュアなコーディングスキルが称賛され、開発者が切磋琢磨し、知識を共有する学習文化を構築することは、企業全体に利益をもたらします。

セキュアなコードのためのアジャイルlearning platform の紹介 

learning platform過去 10 年間にわたり、Secure Code Warrior の設計にアジャイル原則を統合してきました。私たちは、開発者に焦点を当てた柔軟な学習体験によって、従来のセキュリティ・トレーニングの常識を覆し、リスクとコストの削減から開発者の生産性の向上まで、いくつかの側面にわたって2倍から3倍のビジネス価値を顧客に提供してきた。しかし、アジャイルlearning platform を定義するものは何でしょうか？セキュアコードのためのアジャイルlearning platform は、具体的にどのように開発者に新しいスキルを素早く内面化させ、すぐに実践させるのでしょうか？セキュアコードのためのアジャイル学習が、従来のセキュリティトレーニングよりも優れている理由は何でしょうか？ 一連のブログポストの最初の記事であるこの記事では、SCW AgileLearning Platform がアジャイルの価値と原則のいくつかをどのように例証しているかを探ります。

価値提供のフローに組み込まれたダイナミックな経路とジャスト・イン・タイムのマイクロバースト 

セキュアなコードのためのアジャイルlearning platform は、学習者がコンテンツを利用し、知識を深め、新しいスキルを身につけるためのさまざまな方法を提供します。開発者は、必要な時に必要なコンテンツを、必要な分だけ、少量ずつ受講することができます。ユーザーは、私たちのプラットフォームで自分に最適な学習形態を選ぶことができます。ユーザーは、マイクロバーストで提供されるビデオ、ガイドライン、ウォークスルーで 、セキュリティの概念に触れることができます。 これらの機能は、特定の脆弱性の「何を」「どのように」という基本的な概念を提供します。 このコンテンツは、Jira のような、彼らが毎日使用している開発ツールの中で配信されるため、コンセプトがよりよく理解され、内面化されます。

SCW プラットフォームは、漸進的なレイヤリングというアジャイルの原則を例証している。セキュリティコードの概念に最初に慣れた後、開発者は課題のような実践的な対話型モジュールに移ることができます、 missionsやコーディング・ラボの ような実践的な対話型モジュールに移行することができます。 これらのモジュールは、さまざまなスキルレベルや学習スタイルに対応し、開発者に学習方法の選択肢を提供します。 

‍

トレーニングからアジャイル・ラーニングへの転換

セキュリティトレーニングからセキュアコードのためのアジャイル学習へとアプローチをシフトすることは、開発者の労働力を有効にし、開発者の無駄な時間を取り戻し、その時間をより生産的なプロジェクトに充てるための強力な方法である。 この投稿では、Secure Code Warriorのプラットフォーム機能のほんの一部を紹介し、それらがアジャイル学習戦略の原則をどのように例証しているかを説明した。次回は、セキュアなコード学習のビジネスケースを実証し、アジャイルにインスパイアされたプラットフォームの機能をさらに紹介する。

についてSecure Code Warrior

Secure Code Warrior は、セキュアなコードを書くためのスキルを開発者に提供します。当社のlearning platform は、開発者がソフトウェアセキュリティの原則を学習し、適用し、保持するためのアジャイル学習メソッドを使用しているため、最も効果的なセキュアコーディングソリューションです。アジャイル学習型セキュリティプログラムの実装、セキュアなソフトウェアの迅速な提供、開発者主導のセキュリティ文化の創造において、600社以上の企業がSecure Code Warrior を信頼しています。もっと知りたいですか？ デモをリクエストする

本記事は、Forbes Technology Councilの一部として掲載されたものです。この記事は更新され、ここにシンジケートされています。

‍

2022年に漏洩したデータレコードは何件だと思いますか？5億件前後と推測すれば、正しい判断でしょう。公開されている情報漏えいのデータによると、昨年だけで約480,014,323件のデータが盗まれましたが、この数字はもっと大きいでしょう。いずれにせよ、これは一般市民にとっては悲痛な統計であり、企業のセキュリティ担当者にとっては深く気になるところです。

先進国のほとんどの人が、サイバー攻撃によって自分の個人情報の少なくとも一部が犯罪者の手に渡るのを目の当たりにしているのですから、世界各国の政府がこのようなオンライン犯罪の破壊的な流れを食い止めるための解決策を検討しているのは当然です。その最新のものが、バイデン政権による「国家サイバーセキュリティ戦略」であり、私は強い関心を持って注目している。この戦略には、私が最近気に入っているテーマの一つである「セキュリティの説明責任」に関する指令が含まれています。

この戦略は、CISAのサイバーセキュリティおよびインフラストラクチャ・セキュリティ担当ディレクターであるJen Easterlyによる画期的なプレゼンテーションの後に発表され、当然のことながら、セキュリティ・コミュニティでいくつかの分裂を引き起こしました。しかし、私は、この戦略は、ソフトウェアの標準を全面的に引き上げ、最終的に、セキュリティに精通した開発者の新時代を切り開くための最良のチャンスであると信じています。

ベンダーは常に 安全でないソフトウェアに対して責任を負うべきでした。

ソフトウェア・セキュリティにおいて、アカウンタビリティは、どのチームも両立させようとしないホットポテトであることは、何十年も前から言われていることです。Venafiのあるレポートでは、IT上級役員の97%がソフトウェア構築プロセスの安全性が十分でないことに同意しているにもかかわらず、セキュリティのベストプラクティスを実現するための最終責任者が誰であるかについては意見が分かれていることが明らかにされています。61%の経営幹部は、ITセキュリティチームがソフトウェア・セキュリティの責任を負うべきであるとし、31%は、開発チームが負うべきであると述べています。オープンソースやサードパーティの商用コンポーネントがソフトウェアに含まれることで、攻撃対象が常に拡大することになります。

この同じ調査では、ソフトウェアのセキュリティと完全性に対して誰が責任を負うべきかについて社内で対立しているにもかかわらず、94％の経営幹部が、ビルドパイプラインを脅威から保護できず、顧客やエンドユーザーを危険にさらすソフトウェアベンダーに罰則を設けるべきだと考えていることも明らかにされています。 

2016年に発生した壊滅的なサイバー攻撃の不始末に関連して、UberのCISOが最近起訴されたほか、GDPRなどの規制イニシアチブもあり、セキュリティを軽視して火遊びをしているベンダーに対する非難は徐々に高まっています。しかし、これだけでは十分ではありません。私たちはサイバー犯罪者との戦いに敗れつつあり、飲み込むのは難しいですが、ソフトウェア・ベンダーの甘いやり方が、サイバー犯罪者に無限の機会を与えているのです。 

国家サイバーセキュリティ戦略では、安全でないソフトウェアの全責任をベンダーに負わせることで、一線を画し、循環する責任のなすり合いを止めようとしています。



戦略目標 3.3 - Shift Liability For Insecure Software Products And Services：

"あまりにも多くのベンダーが、安全な開発のためのベストプラクティスを無視し、安全でない初期設定や既知の脆弱性を持つ製品を出荷し、検証されていない、あるいは出所が不明なサードパーティ製ソフトウェアを統合しています。

我々は、最も高度なソフトウェアセキュリティプログラムでさえ、すべての脆弱性を防ぐことができないことを認識しながら、ソフトウェアの安全性を確保するための合理的な予防措置を怠った事業体に責任を転嫁し始める必要があります。"

これは、当然ながら、一部の羽目を外すことになりました。しかし、ほとんどの業界における標準や規制の策定における他の決定的な瞬間と同様、長期的により良い結果を得るためには、中期的な苦痛を伴うものなのです。ソフトウェアベンダーである私自身は、セキュリティに関して責任を負うべきは我々であると考えます。私たちのビルドパイプライン、プロセス、そして品質管理は、私たちのものであり、もし失敗したら、それを改善するのは私たちの責任です。

さらに、私たちは、可能な限り最高品質のソフトウェアを作成しようとする場所にいるべきであり、安全なコーディングは、成功した結果を定義する測定基準の一部でなければなりません。これを達成するのは、何としてでもスピードにこだわる世界では難しいことですが、ソフトウェア作成プロセスに関わるすべての人、特に開発者が、それぞれの役割に応じたセキュリティのベストプラクティスを提供できるように十分なトレーニングを受けることができるかどうかは、未来を導くセキュリティリーダーにかかっています。 

長期的なベストプラクティスについては、まだ方向性が定まっていません。

戦略目標 3.3 は、一般的なベストプラクティスの基礎として、確立されたNIST Secure Software Development Frameworkを参照しており、これは包括的ですべてを網羅したガイドラインである。このガイドラインは、「組織の人材、プロセス、技術が、組織レベルで安全なソフトウエア開発を実行するために準備されていることを確認する」必要性を明記していますが、例えば、セキュリティ意識管理者が有効化ソリューションを選択する際に意識すべき要素については、特に規定されていません。

このアプローチが真の変革になるためには、開発者がセキュリティプログラムに不可欠であると考えられ、スキルを高め、脆弱性の検出と撲滅の責任を共有するあらゆる機会が与えられるべきです。また、継続的なスキル開発の道筋ではなく、毎年のコンプライアンス演習と見なされるようでは、これを測定可能な形で達成することはできません。 

開発者は、セキュリティの謎を解くための強力なパズルのピースであり、セキュリティに精通した開発者のチームは、ほとんどの組織で本質的に欠落している要素である。開発者は、セキュリティの高速化を可能にしますが、そのためには、時間とリソースを費やして、開発者の能力を引き出す必要があります。それまでは、一般的なベストプラクティスのガイドラインがあっても、その針は動きません。

ソフトウェアセキュリティの涅槃への長い道のり。

バイデン政権は、重要インフラ全体で迅速な回復力を実現することを目的に、CISAに30億ドルの資金提供を約束しました。政府の最高レベルからの資金提供や支援は非常に重要ですが、私たちが脅威要因の追跡を阻止するチャンスを得るためには、セキュリティ文化に関する物語を書き換えるための世界的な後押しが必要です。

この先には長い道のりが待っています。しかし、それは、すべてのソフトウェアベンダーが、組織レベルでのセキュリティの説明責任に向けて最初の勇気ある一歩を踏み出すことから始まります。

2023年3月20日、Spring Security Advisoriesは、内部で発見された脆弱性「CVE-2023-20860」に言及するブログ記事を公開しました。mvcMatchersの使用に関するアクセス制御の問題であることを除いて、詳細な情報は開示されていません。Springの開発者はこの問題を修正し、バージョンアップを勧めています。

実際に体験してみませんか？こちらのミッションを試してみてください。

において、セキュリティに重点を置いているため Secure Code Warriorそこで、このmvcRequestMatchersの脆弱性をより深く掘り下げ、問題の核心がどこにあるのかを突き止めることにしました。

Spring は RequestMatcher インターフェースを提供し、リクエストがパスパターンに一致するかどうかを判断します。以下のコードを見てください。mvcMatchersヘルパーメソッドを使用して、エンドポイントとその認証・認可要件を登録しています。たとえば、ADMIN ロールのユーザーだけが/logs/audit エンドポイントにアクセスできることがわかります。 

MvcMisMatchers？

Springでは、 **は、URL内の任意の数のディレクトリとサブディレクトリにマッチするパターンです。例えば、/bankaccount/**は、/bankaccount/で始まるすべてのURLにマッチし、/bankaccount/dashboard/settingsのようなサブディレクトリを含む。 

パターンは、任意のURLにマッチするパターンであり、サブディレクトリのレベルがちょうど1つである。例えば、/bankaccount/*は 、bankaccount/dashboardにマッチします。

マッチャーを*で構成する際、Springは「Spring SecurityとSpring MVCの間のパターンマッチの不一致」が起こり、脆弱性が発生したとしています。

基本的に、ダブルワイルドカードの前にセパレータがないため、すべての受信リクエストの先頭にスラッシュが付くため、パスは受信リクエストにマッチしません。つまり、アクセス制御ルールが適用されず、認証されていないユーザーでもリソースにアクセスできてしまうのです。

この問題を修正したコミットを見てみましょう。

最も顕著で重要な変更は、315行目の追加で、認可および認証ルールの迂回を修正するものです。これにより、送信されたパスパターンの前にフォワードスラッシュ（/）が付くようになります。 

404 マッチが見つかりません

bankaccounts/viewに Webリクエストを送信すると、matchメソッドはセキュリティフィルターで定義されたパターンを解析し、リクエストされたパスと比較します。パーサーは、与えられたパターンをパス要素のツリーに変換します。

パーサーは、最初の文字をSeparatorPathElementとして読み取ります。そして、次のセパレーターまで文字列の読み込みを続け、新しいLiteralPathElementを 作成します。

では、**をパターンとして使用する場合、どこで失敗するのでしょうか？ 

パス要素の種類はたくさんありますが、ここで最も興味深いのはWildcardPathElementと WildcardTheRestPathElementであり、それぞれの文字列表現があります：* と/**です。 

WildcardPathElementは、1つのパスセグメント内の0個以上の文字にマッチし、WildcardTheRestPathElementは、それ自体で0個以上のパスセグメントにマッチします（セパレータも含む）。

後者は、**をパターンとして送信する際に何が間違っているのかを知る手がかりになります。解析中にパターンを探しますが、**は期待された前方スラッシュで始まらないのです。そのため、WildcardTheRestPathElementになるのではなく、2つの連続したWildcardPathElementになります。

次に、解析されたパターンを使って、要求されたURLと照合します。パスはフォワードスラッシュで始まることが期待されますが、ワイルドカードはセパレータにマッチしません。

これは、RequestMatchResultの代わりにNULLが返されることを意味します。その結果、このマッチャーに設定されたアクセス制御ルールは、要求されたURLには適用されません。

Springでは、スラッシュを前置することでこの問題を修正しました。つまり、どんな**パターンも/**になり、WildcardTheRestPathElementとして解析され、要求されたURLにマッチするようになったのでRequestMatchResultが返されます。

脆弱性か、APIの悪用か。

このコードが意図したとおりに動作するため、これを脆弱性とみなすべきかどうかは議論の余地があります。この問題は、基本的にSpringのドキュメントに、パスがセパレータで始まるべきだという明示的な記述がないことにあります。したがって、バグや脆弱性ではなく、APIの誤用と考えることができる。

このインタビューは、もともと CyberNews.

‍

セキュリティツールやサービスの普及にもかかわらず、企業は日々進化する脅威の状況に対応するのに苦労しています。

これは、開発者のセキュリティ意識とトレーニングの不足が原因であり、危険なコードが公開され、悪意のある人物に悪用される可能性があります。ウイルス対策ソフトや強力な脆弱性スキャンソリューションなどのセキュリティ対策は、セキュリティのレイヤーを増やすことができますが、今日のゲストは、すべてはセキュリティに焦点を当てた開発チームから始まると説明します。

サイバーニュースでは、開発者がセキュリティの脅威を認識し、軽減するためにどのようなトレーニングを行えばよいかを検討するため、以下の会社のCEO兼共同創設者であるPieter Danhieux氏と対談しました。 Secure Code Warriorセキュリティの脆弱性を克服するために開発チームを支援する、learning platform 、開発者向けのツール群を提供する会社です。

あなたの旅はどのようなものだったのでしょうか？Secure Code Warrior のアイデアはどのようにして生まれたのでしょうか？

若いオタクだった私は、技術を分解して、中に何が入っているか、どのように動くかを発見することに夢中でした。家族と一緒に使っていた家電製品に安心感を覚えた私は、やがてハードウェアやソフトウェアにも同じアプローチを取り、侵入して壊す方法を模索するようになりました。セキュリティに対する生涯の情熱が生まれ、長年にわたり、学生や同僚、セキュリティコミュニティと「壊す」技術を共有し、ソフトウェアのエラーを見つけ、利用し、悪用する方法を紹介することに専念してきました。その後、開発者に安全で優れたコーディングパターンを教室で教え、一般的な脆弱性とその回避方法を理解させるなど、守る側のスキルアップに力を入れました。また、コンサルティングの仕事では、大企業がセキュリティプログラムを改善する方法、特に開発者の関与についてアドバイスしました。その頃、現在のSecure Code Warrior の創業チームと知り合いました。私たちは、コードレベルの脆弱性に関して、セキュリティチームと開発チームの双方が直面している問題点を理解し、開発者のセキュリティスキルの向上を目的としたトレーニングソリューションのほとんどに存在する問題点も理解しました。そこで私たちは、開発者にとって楽しくて魅力的でありながら、企業レベルで拡張可能なlearning platform の構想に取りかかりました。最終的には、開発者の作業環境に合わせ、邪魔にならず、セキュリティファーストの考え方を身につけられるようなツール群を作りたいと考えました。そして、これをできるだけ柔軟な言語と豊富なコンテンツで実現することを目指したのです。

どのようなことをされているのか、ご紹介いただけますか？また、どのような課題を解決するためにお手伝いされているのでしょうか？

私たちは、learning platform 、開発者に特化したツール群を作成し、開発チームが一般的なセキュリティ脆弱性を克服できるよう支援しています。これらの脆弱性の多くは数十年前から存在し、今日も企業をサイバーリスクにさらし続けています。開発者は、コードレベルの問題を修正するためのトレーニングやスキルが不足しており、また、不適切なコーディングパターンやテクニックを使い続けることで、最初に問題を引き起こすことが多いからです。3次教育レベルではセキュアコーディングを教わらず、ほとんどの職場トレーニングプログラムでは、日常業務に関連した内容を提供するには効果がない上、コード品質とセキュリティに長期的に影響を及ぼすには頻度が少なすぎます。私たちのソリューションは、コーディングの行動を変え、実社会でセキュリティを最優先するための、魅力的で適切なスキル開発を提供することを目的としています。開発者が最も慣れ親しんでいる環境との統合を進め、文脈に沿った学習を重視することで、ユーザーが主要な教育成果を維持できる可能性を高めます。また、開発者がセキュリティをポジティブで楽しいものとして捉え、成功に報い、コミュニティを形成できるような方法でこれを行うよう努めます。

セキュアコーディングを学ぶのは面倒だと思う人もいるかもしれませんが、効果的かつ楽しいトレーニングにするために、どのような工夫をされていますか？

当社のフラッグシップモデルであるlearning platform は、開発者のエンゲージメントを第一に考えて設計されています。最も人気のある機能の1つは、Tournament モードです。参加者は、トレーニング中に得た知識を仲間たちとテストすることができます。正解するごとにポイントが加算され、tournament セッション中はライブリーダーボードが更新されます。コミュニティイベントやカンファレンスで実施したこともありますが、中には全員がコスプレをしてくるという、非常に手の込んだテーマで実施したお客様もいます。チームビルディングに最適で、ピザや賞品でスキルアップへのコミットメントを祝い、通常のルーチンから離れるのに最適です。さらに、当社のコンテンツ全般は60種類以上のプログラミングフレームワークで利用でき、日々の仕事で実際に目にするコードスニペットを使用しています。ビデオや毎年のコンプライアンス試験とは異なり、関連性が高く、現実の問題を解決するのに役立つコンテンツであれば、継続的に取り組むことができます。

現在、開発者が直面する主な課題は何だと思われますか？

開発者は良い仕事をしたいと思っていますが、教育やキャリアにおいて、セキュリティに関する十分な知識を得ていないことが重要だと思います。また、開発者はセキュリティを自分の責任範囲外のものと考える傾向があり、大多数の組織では、KPIにセキュアコーディングの成果に関連するものは含まれていません。コードレベルの脆弱性の量に変化をもたらすには、この現状を打破する必要があります。しかし、私たちが望む変化を実現するためには、開発者に適切なサポートとツールが必要です。課題は、効果的なイネーブルメント、トレーニングのための時間の確保、セキュリティの高速化を実現するためのアップスキルに今投資することにあります。

最近の世界的な出来事は、あなたの仕事の分野にどのような影響を与えたのでしょうか？

どの企業も現在の世界情勢が目標や予測、予算に何らかの影響を与えたことは間違いありませんが、私たちは幸いにも今日まで嵐を乗り越えてきました。サイバーセキュリティはほとんどの企業にとって譲れない要素であり、私たちは顧客や見込み客との会話の一部であり続けるために努力しています。

ソフトウェアやアプリケーションを開発する際に、組織が守るべきベストプラクティスにはどのようなものがあるのでしょうか。

しかし、一般的に、最高のセキュリティ対策を実施している企業は、既成概念にとらわれず、さまざまなアプローチを試すことを厭わない。ほとんどの場合、開発者はセキュリティ・プログラムにおいて重要視されることはありません。しかし、世界的なセキュリティスキルの格差がすぐに埋まるとは思えない中、セキュリティを実現する開発者は、ソフトウェア作成の観点からリスクを低減し、コンプライアンスを達成するのに役立ちます。彼らは、プロセスの最も早い段階、最も安い段階で影響を与えることができるのです。

セキュアコーディングツールの他に、業務を強化するだけでなく、安全を確保するための対策や実践があれば教えてください。

すべての企業は、役割に応じた何らかのセキュリティ・トレーニングを実施する必要があります。その意味で、オフィスマネージャーから経理チームまで、すべての人がサイバーセキュリティ対策と意識向上において果たすべき役割を理解し、受け入れる必要があります。

現在の経済情勢を考えると、CISOは最も低いコストで企業のセキュリティを維持しなければならないという大きなプレッシャーにさらされていると思いますが、どのようなアドバイスをされますか？

特に、サイバーセキュリティに関する法律がますます厳しくなり、侵害が発生した場合にCISOが個人的な責任を問われるケースもあるため、CISOはこのような状況下で何らかの創造性を発揮する必要があります。レイオフも加わり、より少ないエンジニアが、同じ量のソフトウェアを書きながら、より多くの責任を負うことが求められる状況になっています。CISOは、ビジネスを停滞させる大きな障害であるセキュリティに対処することで、ビジネスの成功を支援することができます。

コードレベルのセキュリティ脆弱性や設定ミスに対処するための最も安価な段階は、ソフトウェアが出荷される前であり、当然、開発者はそのリスクを低減するための最良の立場にあります。しかし、そのためには、開発者に合わせたサポートが必要です。エンジニアの現在のワークフローと技術スタックを考慮した上で、開発者優先のツールを提供すれば、スピード感のあるセキュリティ対策が可能になる。エンジニアが高速でセキュリティの精度を高めるには、開発者向けのサポートが必要であり、これには、安全なコーディングパターンを使用し、より迅速に問題を解決する方法を示すことが最適です。

包括的な開発者トレーニングの費用で、本質的に脆弱性をソースから排除することに取り組み、ソフトウェア開発ライフサイクル（SDLC）の後半で時間と費用を節約することができます。大規模な攻撃が頻発し、CISO の責任がかつてないほど重くなる中、サイバーセキュリティのスキル不足のせいにして遅れをとるのはやめなければなりません。防御的なセキュリティの実践を優先し、すでに目の前にいる人材を昇格させましょう。

Secure Code Warrior の未来はどうなるのでしょうか？

私たちは、市場に投入するソリューションにおいて、開発者のことを第一に考え、イノベーションを続けていきたいと考えています。私たちは、開発者が機能提供のスピードや、複数の優先事項をこなす正気を損なうことなく、セキュリティを提供できるようにすることに重点を置いています。

私たちは、組織が防御的なセキュリティ・プログラムに革命を起こすのを支援することを目指しており、セキュリティを実現する開発者がその物語の主人公になることを望んでいます。このスペースに注目してください。

この記事の初出は SCマガジン.


CISOはますます危うい立場に立たされている：より多くの資産を保護し、より多くのコードを出荷し、より大きな攻撃対象領域を減らし、そして急速に減少する財源でそれを行う。サイバーセキュリティがコストセンターと見なされていることは避けられない事実であり、組織のセキュリティ・プログラムが、脅威行為者が明日の悲惨な見出しをつけるのを阻止するものであるにもかかわらず、セキュリティ・リーダーは、経営幹部が納得できるような言葉で、部門の全体的なビジネス価値を売り込み、証明するためにもっと努力しなければならない。

世界トップクラスのCISOは、顧客の信頼やブランドの評判を高め、利用可能なあらゆるツールを活用して紛れもない価値を創造する、総合的なセキュリティ・プログラムを主導しています。それは、一般的なセキュリティの落とし穴に対する戦略的かつ予防的なアプローチと、卓越したセキュリティを維持するための時間やリソース、人材は決して十分ではないという考え方を捨てることから始まる。

役員室での議論を変える

現在の経済情勢では、企業や部門が支出する資金、雇用、および事業目標に対する戦略的影響に対する監視の目を免れることはほとんどありません。現代の企業に大規模なサイバーセキュリティ・プログラムが必要なのは当然のことのように思えるかもしれないが、それは組織にとって大きなコストであり、投資対効果という観点から正当化するのは容易ではない。

C-Suite リーダーと取締役会の利害関係者は、スプレッドシートの数字以外の意味でも、サイバーセキュリティの取り組みから予測される成果を明確に理解する必要があります。技術的な知識や理解のレベルはそれぞれ異なるため、CISO は分かりやすいメッセージングでケースを提示する努力をしなければならない。プログラムの規模、何を守る必要があるのか、誰を有効にする必要があるのかを説明し、クラス最高の事例を提供する。攻撃は増加の一途をたどっているが、予算は追いついていない。

業種を問わず、あらゆる企業が急速にテクノロジー企業になりつつあると言われて久しい。ほとんどの組織ではデジタル・ファーストのアプローチが主流であり、これは膨大な攻撃対象領域を意味するため、その時点で可能な最高の保護が必要となる。セキュリティ・リーダーは多くの帽子をかぶっているが、（手遅れになるまで）見過ごされているのが、本質的に顧客の信頼の管理者であるということだ。これは、価値提案として誇張しすぎることはなく、セールスやマーケティングの目標と同じくらい重要である。 

セキュリティに対する予防的アプローチの価値を証明する。

現在のサイバーセキュリティに関する統計は目を覆いたくなるようなものだが、FUD や恐怖を煽ることに乗っかっても、予算増を勝ち取るためには通常、無駄な戦術となる。サイバーセキュリティの優先順位が低いと主張する企業のリーダーはほとんどいないが、既存のリソースを活用してより良い成果を上げるような進取の気性に富んだ戦略が提示されれば、予算の増額を受け入れる可能性ははるかに高くなる。 

Neustar International Security Councilの最近の調査によると、既知のサイバーセキュリティ問題に取り組むために十分な予算があると感じている企業はわずか50%に過ぎない。また、2021年から2022年にかけて世界的なサイバー攻撃は38％増加しているため、平均的なCISOにとってはさらに困難な前途となりそうだ。しかし、真に世界トップクラスのセキュリティ・リーダーは、このような苦境を乗り越え、逆境を乗り越えてイノベーションを起こすことができる。

多くのシナリオにおいて、予防は治療よりも簡単で単純であり、サイバーセキュリティも同様である。全体論的なセキュリティ・プログラムは、事後的な対策にとどまらず、多くのCISOが懸念しているトップ3に脆弱性管理が入っているように、開発者がこの動きに不可欠な要素であることは理にかなっている。開発者には、一般的なセキュリティ・バグに正面から取り組むための実践的な教育が必要である。私たちは今、低品質で安全でないコードを言い訳にし続けることはできない段階にきており、開発者集団のスキルアップは、コードレベルの脆弱性に対する最も費用対効果の高い強力な救済策である。 

CISOが既存の予算を維持するために戦うことは極めて重要であり、特に開発者にとっては、扱いにくいセキュリティ技術スタックに次の「銀の弾丸」を追加するよりも、役割ベースのセキュリティスキルアップの利点を詳しく説明する方が、勝利への近道となる。

セキュリティはブランドの基本であるべきだ。

ほとんどのCISOは、マーケティングへの情熱を発揮するためにその職務に就いたわけではないが、少なくとも財布の紐を握る人たちに自分のケースを提示する際には、この分野に取り組むことができるだろう。 

サイバーセキュリティ・プログラムが顧客の信頼とブランド・ロイヤルティに与える影響は、いくら強調してもし過ぎることはありません。対照的に、厳格なセキュリティ慣行を中核的なブランド価値と一致させることで、データプライバシーと保護が単に念頭にあるだけでなく、顧客が信頼できるものであるという明確なメッセージを送ることができます。 

現代のCISOは、セキュリティ戦略とポリシーの競争上の優位性を、継続的な顧客の好意的な感情と信頼に関連して強調するために時間をかけることが重要である。消極的なセキュリティだけでは同じインパクトは得られず、利用可能なあらゆるリソースを使用して特権資産を保護することに焦点を当てたバランスの取れたアプローチが、究極の差別化要因となり得る。 

言い訳の余地はもうないが、真に変革的なセキュリティ戦略のための十分な資金を求める上で、CISOが強調できる説得力のある理由はたくさんある。

この記事はもともと SDタイムズ.更新され、ここにシンジケートされている。

‍

技能の確認は、現代のほとんどの時代において私たちの生活の一面を占めており、私たちに正当性を与え、他の方法では得られない扉を開いている。例えば、運転はほとんどの人にとって重要な通過儀礼であり、私たちは時速100マイル以上で走行可能な4,000ポンドのマシンを任せられるかどうかを確認するために、一連の標準化された評価に合格することが期待されている。

。しかし、ある人にとって運転が日々の利便性を超え、エリート職業になるとしたらどうだろう？F1ドライバーになる可能性もある。そこでは、一般人が現実的に扱えるスピードよりも速いマシンを、高速でミスをする可能性なしに操作することが許される。 

そのため、重要なインフラ、自動車、医療技術、そしてその間にあるあらゆるものに電力を供給するコードに携わる開発者のほとんどが、まず自分のセキュリティ能力を検証することなくそうしているのは不可解に思える。その一方で、セキュリティに精通した開発者たちは、物事を安全に構築する方法を理解していることを何度も証明してきたはずなのに、なぜセキュリティゲートのために、遅々として進まない開発パイプラインの中で他の開発者たちと一緒に行列を作る必要があるのだろうか。業界はこれを見落としとは見ていない。 

私たちは、広範な調査から、ほとんどの開発者が自分のコードでセキュリティを優先しておらず、一般的なセキュリティバグの多くをナビゲートするために必要な定期的な教育が不足していることを知っています。多くのセキュリティ対応開発者は、アウトバーンの低速車線で、多くの初心者ドライバーの後ろから立ち往生しているように感じています。 

このような状況にもかかわらず、セキュリティの世界は徐々に前進しており、開発者には、現場で即戦力となる検証済みのセキュリティ・スキルがますます求められている。バイデン政権の「国家のサイバーセキュリティ向上に関する大統領令」では、米国政府のソフトウェア・サプライチェーンに含まれるすべてのサプライヤについて、ベンダ（およびその開発グループ）のセキュリティ対策を評価するよう特に求めている。しかし、業界標準の評価方法がほとんど提供されていない中で、企業は、自社のセキュリティ対策プログラムが、納品に膝をつかせたり、セキュリティ意識の高い開発者が羽ばたくのを止めたりすることのない方法で、検証可能な開発者のセキュリティスキルを向上させていることを、どのように証明すればよいのだろうか。

メリットに基づくアクセス制御：うまくいくだろうか？

最小特権のセキュリティ管理は、多くの組織で主力となっているもので、各役割には、業務上必要な範囲でソフトウェア、データ、システムへのアクセスが割り当てられ、それ以上は割り当てられないという考え方である。この方法は、特にゼロ・トラスト認可の原則と組み合わせると、攻撃対象の全容を把握するのに役立つ。そして本当は、この同じ戦略をAPIパーミッションやその他のソフトウェアベースのユースケースにも標準的に適用すべきだ。 

セキュリティ・ビジネスに携わる私たちのほとんどは、ソフトウェアが世界を食いつぶしているという事実を強く意識しており、フライヤーを動かしている組込みシステムのコードも、悪用される可能性があるという点では、送電網を稼働させているコードと何ら変わりはない。私たちの生活や重要なデータは、脅威要因に翻弄されている。開発者は皆、適切な教育を受けることで、コードを強化できる力を理解しなければならない。組織のセキュリティ文化を真剣にアップグレードする必要があるが、真のDevSecOpsスタイルの責任共有のためには、開発者は自分の果たす役割にもっと関心を持つ理由が必要であり、おそらく彼らの考え方を変える最も早い方法は、コードリポジトリへのアクセスをセキュアコーディングの学習成果に結びつけることだろう。

例えばBFSI分野の組織を例にとれば、顧客データを含む機密性の高いリポジトリや、クレジットカード番号のような貴重な情報を保管している可能性が高い。それなのに、アクセスを許可された各エンジニアがセキュリティを意識し、PCI-DSSの厳しい要件に準拠し、マスター・ブランチへの変更を迅速かつ問題なく行えると考えるべきでしょうか。一部のエンジニアはそうかもしれないが、その知識が証明されるまでは、こうしたデリケートなシステムへのアクセスを制限した方がはるかに安全だろう。

課題は、ほとんどの企業において、「ライセンス・トゥ・コード」シナリオを実施することは困難であり、トレーニングソリューションによっては、セキュリティのスピード目標をサポートするにはマニュアル的すぎるということである。しかし、統合的な教育とツールの適切な組み合わせは、開発者主導の防御的セキュリティ戦略の中核となり得る。 

効果的なトレーニングの統合は不可能ではない。

高速なビジネス目標とワークフローの両方を補完する開発者のスキルアップソリューションを見つけることは、戦いの半分である。そして、自分自身を証明することに成功した開発者にとってはどうだろうか？まあ、コーディングの世界は彼らのものであり、彼らが基本的なことをナビゲートできないことを前提としたセキュリティ管理によって足かせにされる必要はない。 

開発環境とシームレスに統合されたハンズオンスキルの向上は、エンジニアがセキュアコーディングの概念を真に理解し、適用するために必要なコンテキストを提供する。また、同じ統合機能を使用して、重要システムへのアクセスを効果的に管理することができ、学習成果に秀でた者が最優先の機密タスクに支障なく取り組めるようにする。また、報奨金や表彰の実施も容易になり、セキュリティスキルを持つ開発者が同業他社から憧れの存在として見られるようになる。 

人生において多くのことがそうであるように、幸運は勇敢な者に味方する。現状を打破し、開発者のスキル検証に既成概念にとらわれないアプローチを採用することは、スピードを犠牲にすることなく、許容可能なコード品質の明日の基準を高めるためにまさに必要なことである。

この記事のバージョンは ダーク・リーディング.


多くの企業が成長、イノベーション、デジタル・トランスフォーメーションの波を乗り越えていく中で、企業の規模が拡大するにつれて、いくつかの領域が未完成のままであることは当然のことである。これは、組織のサイバーセキュリティ・プログラム、特にセキュリティ・リーダーがリスク・エクスポージャーを増大させる新たな脅威、脆弱性、技術開発の一歩先を行くために戦う場合、しばしば当てはまります。

しかし、世界のソフトウェア・ニーズを満たすために書き込まれる膨大なコードと相反する根強いスキル不足により、多くの企業はサイバーセキュリティ戦略や既存のインフラに遅れをとっている。また、業界はツールベースのアプローチに固執しているように見えるため、熟練した人材の力は、機能する防御プログラムでは見過ごされがちである。 

サイバーセキュリティの成熟度を全体的に正直に見つめ直し、目の前にある実行可能なクイックウィンを評価する時だ。

持続可能なサイバーセキュリティの成熟はプロセスである。

世間一般は、どの企業も強固なサイバーセキュリティ・プログラムを持っており、保護は適切なソフトウェアを選択し、フォース・シールドのように作動させるだけで、脅威行為者を足止めできると思いがちだ。2022年は、コスタリカ政府全体が身代金を要求されるなど、サイバーインシデントが過去最悪となった年である。 

多くの業界、特に金融業界では、コンプライアンスを重視し、厳格なセキュリティ対策を要求する複雑化する規制の枠組みに縛られているが、現実には、ほとんどの組織がサイバー耐性を欠いている。世界の大企業の半数以上が、サイバー攻撃を阻止する効果に乏しく、悪用された脆弱性を迅速に発見し修正することもできていない。 

人材、プロセス、技術のベストプラクティス・トリプルスレットを包含する、定義された成熟したプログラムを持つ、先進的と考えられる組織でさえ、脅威の状況の速いペースでの要求についていくのに苦労することがある。多くの企業が躓いている重要な分野の 1 つは、特に開発チームにおける役割ベースのセキュリティ意識である。組織内のすべての人が、攻撃対象領域を縮小するために果たす役割を理解する必要がありますが、日々コードを扱う開発チームは、セキュリティに対する真に変革的なアプローチの運転席に座ることができます。 

全体的で防御的なセキュリティプログラムは、継続的な改善が求められるものであり、強固な基盤の構築に細心の注意を払う必要がある。このような基盤が主にツールベースのものである場合、成熟度がセキュリティ・リーダーの期待よりも低い可能性が高い。Ponemon Instituteの調査によると、企業の53％が、自社のセキュリティ技術スタックが侵害を効果的に阻止できると確信していないことが明らかになった。大小を問わず、サイバー攻撃の成功の主な原因はヒューマンエラーであるため、開発者を戦略的なセキュリティ強化から外すことは火遊びである。 

開発者を優れたソフトウェアセキュリティの原動力にする

サイバー攻撃にまつわる不愉快な真実は、攻撃者がセキュリティ成熟度のどの段階にいるかにかかわらず、ほとんどすべてのケースにおいて、標的企業よりも明らかに有利な立場にあるということです。攻撃者は時間、ツール、モチベーションを持ち、あらゆる弱点を入念にスキャンし、その弱点を突破して大金を手にすることに専念している。

一方、企業は、ビジネスと顧客のニーズを両立させており、サイバー攻撃による甚大なリスクを回避する余裕はないものの、パフォーマンスを阻害することになりかねない豊富なセキュリティ対策に対応するために、業務のペースを落とすことは現実的ではない。そこで、セキュリティに精通した開発者がサイバー防御の成果を左右するXファクターとなる。

従来は、開発者がセキュリティの責任を有意義な形で共有することができなかったことは長い間知られている。組織は、開発者集団のために実行可能なスキルアップの道筋を構築することができるが、開発者集団は、開発者集団の世界で理にかなった方法で関連する教材を提供する教育オプションを選択する必要がある。最低限、彼らが積極的に使用する言語やフレームワークで、コードベースで遭遇する可能性の高い脆弱性を扱った内容でなければならない。 

courses が開発者のワークフローを念頭に置いて構成されている場合、一般的な脆弱性や設定ミスを永続させる劣悪なコーディングパターンを、長期にわたってソフトウェアの品質を大幅に向上させる安全で優れたパターンに置き換えることができる可能性がはるかに高くなる。低品質のソフトウェアは、今年だけで米国に2兆4,100億ドルの損失をもたらした。これは、リスクの高い技術的負債を維持するエラーのサイクルを断ち切ることによってのみ改善できる。

それは、より積極的で全体的なセキュリティ・プログラムに組織全体で取り組むことであり、人が主体となる問題に変化をもたらすために必要な人の力を活用することである。そして、明日のヘッドラインに載らないことが不可欠であるならば、それは確かに努力する価値がある。