開発チームの優先順位リストにおいて、セキュアコードはどの位置を占めていますか？

サイバーセキュリティ攻撃の増加と高度化は、世界中のあらゆる分野や産業に変化をもたらしている。あらゆる組織が「左折」を試み、あらゆるプロセスや手順にセキュリティを早期に組み込もうとしている。 この状況は、DevSecOpsのようにセキュリティをソフトウェア・アプリケーション開発の基盤構造に組み込むなど、サイバー防御を強化する全く新しい動きさえも促進している。

これらの変更の多くは開発者コミュニティの足元で起こっています。新しいプログラムやアプリケーションを創造し、記述し、コーディングするのは彼らですから、より安全なコーディング手法の採用を求めるのは理にかなっています。結局のところ、新しいアプリケーションが最初に作成される段階以上に「左にシフト」することは不可能なのです。

しかし、開発者コミュニティはこの責任についてどう考えているのか？従来、ほぼ専らプログラミングの速さで評価されてきた開発者たちは、セキュリティの擁護者という新たな役割を今どう捉えているのか？そして、自社の経営陣がこの取り組みを、質の高い研修やより良い報酬、この新たな重要な責任を担うにふさわしい評価によって支援していると信じているのか？

2 年目となる今年も、エヴァンス・データ社と提携し、安全なコーディングの実践に関するスキル、認識、行動、およびソフトウェア開発ライフサイクル（SDLC）におけるその影響と重要性について、世界中の開発者コミュニティを対象に包括的な調査を実施しました。その結果は、多くの点で非常に驚くべきものでした。

2022年開発者主導セキュリティ調査の現状

エヴァンス・データ社は、Secure Code Warrior 、Secure Code Warrior が開発した開発者主導のセキュリティ状況に関する調査を実施しました。アジア太平洋地域、ヨーロッパ、北米で活動する 1200 人のソフトウェア開発者を対象に、ソフトウェアのコーディング、セキュリティ意識、トレーニング、サポート、動機などに関する質問を行いました。 この調査は英語で実施され、正確なグローバルな視点を得るために必要に応じて翻訳されました。回答者には、新しいアプリケーションを開発している開発者や、開発者コミュニティの管理者も含まれていました。

いくつかの驚くべき発見

4月11日（月）には、詳細な技術文書（ソフトウェアセキュリティ向上の課題（と機会））と、調査の全側面を掘り下げたレポート（開発者主導のセキュリティの現状、2022年）が公開されます。 技術文書には、安全なコーディング実践に関するコミュニティの結論と懸念事項の分析に加え、ソフトウェアのセキュリティ向上に向けた開発者チームの育成に関する組織への提言が含まれます。

これらの課題のいくつかは、組織内で開発者と協働する者や開発コミュニティの構成員にとって疑問を投げかける可能性がある。少なくとも我々にとってはそうであった。

例えば、回答者のわずか14％がアプリケーションのセキュリティを現在の主要な優先事項の一つとして挙げた。一方、アプリケーションのパフォーマンスや機能・機能の優先順位付けといったより伝統的な指標は、依然として彼らの全体的な目標であり続けた。

セキュリティの優先度は非常に低く、調査対象の開発者の67%が、日常的に既知の脆弱性やエクスプロイトをコードに残していると認めた。その理由は、納期が非常に厳しいこと、機能性をセキュリティよりも優先すること、あるいは単にセキュリティ問題を解決するための必要なトレーニングや知識が不足していたためである。

多くの場合、開発者は自組織が安全なコードの定義を明確にしておらず、その状況を変えるための適切なトレーニングや支援を提供していないと主張した。

しかし、いくつかの否定的な調査結果にもかかわらず、態度が変化しつつあることも明らかになった。 開発者の大多数（66%）は、今後12～18ヶ月でセキュリティがより重要な優先事項になると予想しており、一方、調査に回答した採用担当者の82%は、セキュリティ知識を持たない開発者よりも、セキュリティ知識を持つ開発者を採用したい意向を示した。

調査結果は、開発者コミュニティと彼らが関わる組織が膨大な変化に直面していることを明らかにしているが、幸いなことに、短期および長期の将来計画も急速に具体化しつつある。

技術文書と報告書にご注目ください。これらには調査の完全な結果に加え、安全なコーディングの実践に関する課題についての専門家の見解、および組織が開発者のセキュリティスキルを向上させ、最終的にはソフトウェアの安全性を高めるために活用できる機会が詳細に記載されています。

Secure Code Warrior をチェックしよう Secure Code Warrior ブログページをご覧ください。サイバーセキュリティとますます深刻化する脅威の現状について、また革新的な技術とトレーニングを活用して組織と顧客をより効果的に保護する方法について詳しく知ることができます。

‍