黄金を求めて：ペイセーフでセキュリティコード基準が急上昇

Paysafeは金融取引を信頼に基づく体験へと変革する支援を提供しており、年間取引高1,520億ドル以上を処理する安全かつシームレスなプラットフォームを提供するには、基本的なコンプライアンス基準を満たすだけでは不十分であることを理解しています。 過去4年間、Secure Code Warrior提携を通じ、開発者向けリスク管理への包括的アプローチを継続的に推進してきました。同社のアプリケーションセキュリティプログラムは、以下を含むビジネス全体のニーズにプラスの影響を与えていることが実証されています：

課題：Paysafeにおけるセキュアコーディング基準の向上

オンライン決済の多国籍プロバイダーとして、Paysafeは常に安全なコーディングを戦略的優先事項と位置付けており、単なるPCI DSSコンプライアンス要件の遵守を超えた取り組みを推進してきました。 専門家による対面形式の正式なトレーニングセッションやスキル評価が初期の取り組みの一部ではあったものの、Paysafeの目標は常に、セキュアコーディングイニシアチブの範囲と規模を継続的に拡大し、アプリケーションセキュリティにおける業界最高水準のアプローチを確保するとともに、エンジニアが最初から安全なコードを書くことを保証することにあります。

「私たちにとって、研修を実施したというチェックボックスにチェックを入れるだけでは決して十分ではありません。私たちの目標は、スタッフに最新の進歩を常に把握してもらうことです。私たちは常により良く、より多くを達成するよう努めています。エンジニアリングチームとセキュリティチームが協力し合うことを望んでいます。 自己啓発できるチームは、より多くの情報を得て、より優れたコードを設計することができます」と、Paysafe の人材開発パートナーであるボヤン・フリストフ氏は述べています。

Paysafeのビジョンは、セキュリティを左にシフトさせることでした。つまり、ソフトウェア開発ライフサイクルの各段階で安全なコーディング慣行を取り入れる、セキュリティ意識の高いエンジニアを育成することです。 そのためには、PCI規制への準拠のための監査証跡を提供するだけでなく、深く持続的な文化変革を推進する、拡張性があり魅力的で継続的なプログラムが必要でした。これには、ゲームベースの学習体験、定期的なコンテスト、継続的なトレーニングが含まれ、開発者が積極的に関与し、業界のセキュリティ動向の最先端を走り続けるよう促すものでした。

解決策：Secure Code WarriorWarriorによる先進的なアプローチ

ペイセーフは、セキュアコーディングの実践拡大、エンジニアの採用、開発ライフサイクルの初期段階へのセキュリティ統合をSecure Code Warrior デベロッパー向けリスク管理プラットフォームを採用しました。同社の「セキュリティチャンピオン」プログラムは時を経て成長を続け、サイバーリスク防止目標のSecure Code Warrior 重要な役割Secure Code Warrior 。

Paysafeは開発者がプラットフォームと有機的に連携できるようにし、トーナメントなどのゲーミフィケーション活動を促進。魅力的な賞品を用意することで開発者の参加意欲と熱意を高めました。プログラム開始当初は、PCI準拠要件を満たすため一部評価を必須とし、その他のコンテンツや活動は任意で提供しました。

プログラムが勢いを増すにつれ、経営陣はさらなる支援を提供し、開発チームと情報セキュリティチームの目標をさらに整合させました。これによりPaysafeチームはプログラムを次の段階へ引き上げ、具体的な主要業績評価指標と成功達成のためのインセンティブを備えた、より正式な認定プログラムを導入することが可能となりました。

プログラムの次の段階では、OWASPの主要10テーマと業界標準に焦点を当て、開発者が複数のパフォーマンスレベルを段階的に進めることができる認定段階を導入しました。現在、このプログラムは新たな規模と成熟度に到達し、正社員から臨時従業員に至るまで、開発者全般に対する基本基準を引き上げています。

「過去4年間にわたりSCWと築いてきたパートナーシップを非常に高く評価しています。アプリケーションセキュリティに関する専門的なトレーニングを共同で実施し、SDLCの初期段階かつ可能な限り早い段階で安全なコードを開発するという共通の取り組みに基づき、セキュリティチームとエンジニアリングチーム間のより強固な関係を促進することができました」と、Paysafeの情報セキュリティ責任者アラン・オズボーンは述べています。

CISO、CTO、およびエンジニアリング部門の経営陣による継続的な支援と連携のもと、Secure Code Warrior 提携しSecure Code Warrior プログラムの継続的な進化Secure Code Warrior 。現在、このプログラムは事業ニーズと緊密に連動し、具体的な成果を提供するとともに、社内チームにとって関連性と魅力を維持し続けています。

結果：組織全体におけるセキュアコードの新たな基準

Paysafeのアプリケーションセキュリティ対策は、4年前の開始以来着実に進化を遂げてきました。Secure Code Warrior提携により、Paysafeは開発者向けリスク管理への包括的アプローチが組織全体に与える多大な影響力を実証しています。

PaysafeによるSASTスキャンデータの分析では、Secure Code Warrior （SCW）で訓練を受けたチームが開発したアプリケーションにおいて、初期開発段階のスキャンで検出される脆弱性が顕著にSecure Code Warrior 。SCWプラットフォームへの開発者の積極的な参加度が高いチームでは、初回分析で検出される脆弱性の数がさらに減少しました。

Secure Code Warrior 最も高い活動レベルと参加率を示したチームは、開発初期段階で発見される脆弱性が年々大幅に減少Secure Code Warrior 。これは、継続的かつスキルベースのトレーニングが安全なコーディング習慣を強化する上で付加価値をもたらすことを強調しています。 初期段階からのセキュアなコード作成により、当該チームおよびSDLC上の他チームは大幅な時間削減を実現しました。開発初期段階で脆弱性を未然に防ぐことで、コードの脆弱性を特定・記録・修正する作業が不要となり、数千時間もの開発時間を節約できたのです。 これにより開発者の生産性が45%向上し、セキュアコーディングスキルの向上と日常的な開発プロセスの改善がもたらすメリットを実証する一助となりました。エンジニアリングチームとAppSecチーム双方にとって、まさにウィンウィンの状況です。

ペイセーフのコード保護への取り組みは、同社を際立たせ、銀行^{・金融サービスベンチマークにおけるSCW Trust} Score®ランキングで4位を獲得する原動力となりました。 この成果を誇りに思う一方で、Paysafeのセキュアコードへの取り組みはこれで終わりではありません。Secure Code Warrior連携で得られた成果に後押しされ、Paysafeはプログラムのさらなる強化を目指しています。

「Secure Code Warrior 、開発者の生産性向上、製品や機能の市場投入スピードの加速、そして長期的なコストとリスクの大幅な削減を実現する上でSecure Code Warrior 助けSecure Code Warrior 」と、Paysafeの情報セキュリティ責任者であるアラン・オズボーン氏は述べています。 「開発者教育の強化によって推進されるセキュアプログラミングは、単なるオプションではなく、実証済みの投資であり、真の投資対効果をもたらすと同時に、開発者のスキル、経験、能力を強化することを実証しました」

続いて、Paysafeは追加のガバナンスおよびリスク管理措置をプロセスに組み込むことで、自社のセキュリティ基準をより運用可能なものとすることを目指しています。また、SCW TrustSecure Code Warrior との長年にわたる提携関係を深化させSecure Code Warrior サイバーセキュリティにおける卓越性への取り組みを実証しています。