画期的なセキュリティ認証体験の創出

一流金融機関が革新的なセキュリティ認証体験をいかに創出したか

ゲームは、セキュリティ遵守に関して開発者の心をつかむ手段となり得るだろうか？

数百万の顧客、信頼されるグローバル金融機関としての豊かな歴史、そして革新とデジタル変革のペースへの取り組みを背景に、この一流の銀行顧客は、組織内で真にユニークな教育体験Secure Code Warrior を採用しました。

同社は内部向け技術教育イニシアチブを創設し、機械学習やサイバーセキュリティなど複数の分野において、数千人の従業員が実践的かつ最先端のスキルを習得できるよう支援することを目的としている。

金融サービス業界は現在、急速かつ根本的な変革期にあり、多くの企業が新興技術の急速な発展に合わせてサービス提供内容を転換しています。本質的には、金融を軸とした本格的なテクノロジー企業へと変貌を遂げつつあるのです。 当社のクライアントが採用したアプローチは、この潮流に追随するだけでなく、大多数を上回る優れた（そしてより賢明な）成果を上げることを可能にしました。彼らは、こうした重要かつ新興分野で最先端を維持するため、自社人材への大規模な投資を実行。その結果、金融技術における革新と専門知識の最前線に立っています。

このプログラムを成功裏に実行するため、当社クライアントとチーム全体は、開発者がセキュアコーディングを完全に習得し、サイバーセキュリティに対する高い意識を持つ必要性を認識しました。セキュリティ意識向上担当ディレクターは、チームが積極的に関わり、初期段階からセキュリティへの熱意を持てるよう努めました。

挑戦

当社のクライアントのセキュリティ意識向上担当ディレクターは、セキュリティ業界で長年の経験を持ち、大小さまざまな企業におけるオンラインアプリケーションの爆発的な普及や、デジタル技術に特化したチーム数の急増を最前線で経験してきました。 彼は、このような激しい拡大が必然的に経験の孤立化をもたらすことを直接目撃しており、最終的には、多くのセキュリティチームや開発チームにとって問題となっています。「インターネット導入の初期段階では、開発者はセキュリティについて考え、ソフトウェアのビルドにそれを適用していました。 しかし、ますます孤立化する環境では、例えばあるチームがOSを開発し、それをセキュリティチームに分析を依頼すると、多くの場合、修正方法に関する大量の赤印や注釈が付いて返ってくる。確かに安全性は確保されるが、発見や知見はブラックホールに消え、同じことが繰り返されるだけだ」と彼は述べた。

彼は職務中に頻繁に目にする安全上の問題について話す際、「人々の課題」に言及した：

ソフトウェアエンジニアは機能開発のために報酬を得ており、セキュリティはアジャイル開発の大きな妨げと見なされることがある。彼らは自身の優先事項に忙殺され、セキュリティ面を他人の仕事と捉える傾向がある。極端なケースでは「まあ、まだ何も起きていない」と考える者さえいる。 なぜソフトウェア保護をそんなに気にする必要があるのか？なぜ開発ライフサイクルを妨げるのか？」と考える者もいます。デジタル化が急速に進む現代において、この姿勢は変えなければなりません。セキュリティを厄介者扱いするのではなく、ソフトウェアの安全性を共有する責任の重要性を強調すべきです。

デジタルライフを支える開発への依存が高まる中、壁に書かれた文字が見えた：社会全体が、善意のプレイヤーにとってますます不公平な戦場で、ハッカーにとって格好の標的となっているのだ。開発者はセキュリティを真剣に受け止め、強い関心を喚起し、自組織（そして実際、あらゆる真面目なテクノロジー企業）の防衛の最前線とならねばならなかった。

そこで彼は従来のトレーニングを根本から変えることに専念した。

実装

セキュリティ意識管理者は、ソフトウェア品質の新たな基準を確立するという当社クライアントの全体的な理念を推進しました。 具体的には、ソフトウェアに内在するセキュリティレベルが、その総合的な品質と製品の実現可能性を示す指標であるという考え方です。現状では、セキュリティはほとんどの場合、品質測定と密接に結びついておらず、ソフトウェア評価においてユーザーインターフェース、速度、サービス能力が考慮されるのと同じ方法で扱われることは決してありません。

「セキュリティは、ソフトウェアの高品質にとって譲れない要件となるべきだ」と彼は述べた。「セキュリティは信頼性に関連しており、これは多くの企業、特にビジネスモデルが急速に変化しデジタル化される企業にとって大きな懸念事項である」

脆弱性のあるコードを修正するコストは、最初から安全に記述した場合と比べて最大30倍も高くなるため、開発チームに持続可能なセキュリティ文化を「組み込む」ことが重要な目標となっています。 結局のところ、分析ツールでは検出できない脆弱性が存在し、それらに対抗する最も効果的な解決策は、セキュリティを意識した開発チームを擁することである。

セキュリティ意識向上担当ディレクターは、他の研修手法に関する自身の経験を詳細に説明した。その多くは現在も開発者を「説得」し、増大するセキュリティ問題に対処できるよう準備させるために日常的に使用されている： 「開発者が理論中心の大量の作業、あるいはさらに悪いことに、チェックリストを埋めて済ませるための不定期なコンプライアンス研修を通じてセキュリティを学ばなければならない場合、実践的な学習が不十分で、持続的な効果を得るための時間も不足しています。私はより効果的な解決策を適用することで、この状況を変えることを決意しました」と彼は述べた。

高いレベルのコミットメントの利点

セキュリティ意識管理の専門家とそのチームの助言を得て、当社のクライアントはカスタム認証プログラムを導入しました。Secure Code Warrior 重要なSecure Code Warrior 。

開発者向けトレーニングソリューションの効果性と魅力向上に関する調査が、彼らをゲーミフィケーションの早期採用者へと導いた。独自の体系化された大規模カリキュラムにより、その可能性と潜在力を最大限に引き出したのである。

「高いコミットメントを伴う教育を文化の一部とし、学生が学びを継続するために戻ってくるようにすることが極めて重要でした。このシステムは、セキュリティに関する知識、スキル、価値感覚を意図的に育成するアプローチであり、最終的には彼らが日常的に使用する実際のソースコードを扱うことを可能にします」と彼は述べた。

ソリューションが包括的であり、業界標準のセキュリティベストプラクティスと社内ガイドラインの両方を網羅することを保証したことで、お客様は迅速にトレーニングを展開でき、組織内のソフトウェアセキュリティにプラスの影響をもたらしました。

結果

当社の顧客向け認定プログラムは、成功を収めつつも絶えず進化を続ける研修形式であり、貴社の社内技術教育施設のような先見性のある取り組みに最適です。この包括的なコースは、楽しくインタラクティブで意欲を高める方法で提供されるため、すべての受講者が知識を定着させる最高の機会を得られるだけでなく、セキュリティを最優先する文化とマインドセットを真に育むための必要な支援も保証します。 ゲーミフィケーションが学習を魅力的にする一方で、プログラムの根本的な目的は、開発者にアプリケーション内の高リスク脆弱性を特定・排除する必須スキルを提供することにあります。

重要なのは、研修が義務ではなく、開発者自身の動機付けが必要だった点である。インセンティブや報酬の提供がこれを後押ししたことは疑いないが、チーム全体によるプログラムの採用は、チームからの支援強化とプロセスへの承認がもたらした結果であった。

このプログラムは、重要なスキルを継続的に育成するだけでなく、開発チームとAppSecチーム間の関係における隔たりを埋めるのにも役立ちます。両チームが連携し、共通言語でコミュニケーションを取り、相互に関心を持ち合うように促すのです。

このプログラムは単なる形式的な要件を満たすものではなく、貴重な人材とそのキャリアを継続的に支援する上で不可欠なものとなっています。地球上で最も成長著しい産業の一つであるサイバーセキュリティ分野において、測定可能なスキル向上を提供しているのです。ソフトウェアのセキュリティを初期段階から強化するための基準となるのは、まさにこのような研修プログラムなのです。

データ概要

• 認定を修了した学生たちから、講師になる意向を示す前例のない反響がありました。この基礎的な啓蒙活動は、口コミによる支持の拡大、受け入れ、そして安全に対する一般的な認識を高める強力な要因となっています。
• 当社のクライアントは、組織内の2500人以上の開発者向けにプログラムを導入する過程にあり、90％以上が既にシステム上で稼働中です。
• この研修は、従業員の総合的なキャリア開発を支援するために活用され、絶えず変化する技術環境において自らのスキルを活用するために必要な知識を確実に習得させることを目的としています。