金への挑戦：Paysafeにおけるコードのセキュリティ基準が急上昇

Paysafeは金融取引を信頼に基づく体験へと変革する支援を行っており、年間1,520億ドルを超える取引高を処理する安全かつシームレスなプラットフォームの提供が、単なる基本コンプライアンス基準の遵守に留まらないことを理解しています。 過去4年間、PaysafeSecure Code Warriorパートナーシップを通じて、開発者向けリスク管理の包括的アプローチを推進し続けてきました。同社のアプリケーションセキュリティプログラムは、企業の全体的なニーズに対して以下のようなプラスの影響をもたらしています：

課題：Paysafeにおけるコードのセキュリティ基準の向上

多国籍オンライン決済プロバイダーとして、Paysafeは常に安全なコーディングを戦略的優先事項と位置付けており、これは単なるPCI DSS準拠要件の遵守を超えた取り組みです。 専門家による正式な教室でのトレーニングセッションやスキル評価が初期の取り組みの一部ではあったものの、Paysafeの目標は常に、セキュアコーディングイニシアチブの範囲と規模を継続的に拡大し、アプリケーションセキュリティにおける最高水準のアプローチを確保するとともに、エンジニアが最初から安全なコードを書くことを確実にすることでした。

「私たちにとって、彼は単に研修を実施したことをチェックするだけでは決して満足しませんでした。私たちの目標は、スタッフに最新の開発情報を常に知らせることです。私たちは常に改善とさらなる努力に努めています。 エンジニアリングチームとセキュリティチームが協力し合うことを望んでいます。自ら成長できるチームは、より多くの情報を得て、より優れたコードを設計できるからです」と、Paysafe の人材開発パートナーであるボヤン・フリストフ氏は説明しています。

Paysafeのビジョンは、セキュリティを左にシフトさせることでした。つまり、ソフトウェア開発ライフサイクルの各段階で安全なコーディング慣行を組み込む、セキュリティ意識の高いエンジニアを育成することです。 これを実現するには、PCI準拠のための監査証拠を提供するだけでなく、深く持続的な文化変革をもたらす、拡張性があり、参加意欲を高め、継続的なプログラムが必要でした。これには、遊び心のある学習体験、定期的なコンテスト、継続的なトレーニングが含まれ、開発者がセキュリティに関する業界のトレンドの最先端を走り続けることを支援しました。

解決策：Secure Code WarriorWarriorによる最先端のアプローチ

ペイセーフは、セキュアなコーディング慣行の確立、エンジニアの関与促進、開発サイクル早期へのセキュリティ統合をSecure Code Warrior デベロッパー向けリスク管理プラットフォームを採用しました。同社の「セキュリティチャンピオン」プログラムは時を経て発展し、Secure Code Warrior サイバーリスク予防目標の達成において重要な役割Secure Code Warrior 。

ペイセーフは、魅力的な賞品付きのトーナメントなど、開発者を巻き込み熱意を持たせる遊び心のある活動を促進することで、開発者がプラットフォームと有機的に関わることを可能にしました。プログラムの初期展開時には、PCIコンプライアンス要件を満たすため特定の評価項目を必須とし、その他のコンテンツや活動は任意で提供しました。

プログラムが着実に進展するにつれ、経営陣は追加支援を提供し、開発チームと情報セキュリティチームの目標をより一層整合させました。これによりPaysafeチームはプログラムを次の段階へ引き上げ、指定されたKPIと成功インセンティブを備えたより正式な認証プログラムを導入することが可能となりました。

プログラムの次の段階では、OWASPの主要10標準トピックに焦点を当て、開発者が達成レベルに応じて段階的に進める認定プロセスを導入しました。現在、このプログラムは新たな規模と成熟度に到達し、正社員から臨時労働者まであらゆるレベルの開発者に対する基本基準を引き上げています。

「過去4年間にわたりSCWと築いてきたパートナーシップを大変評価しております。 共同でアプリケーションセキュリティに特化したトレーニングを提供し、セキュリティチームとエンジニアリングチームの関係を強化できました。これはSDLCの初期段階かつ可能な限り早い段階で安全なコードを開発するという共通の取り組みに基づいています」と、PaysafeのITセキュリティ責任者であるアラン・オズボーンは述べています。

CISO、CTO、およびエンジニアリング部門のリーダー陣による継続的な支援と方向性の統一により、Secure Code Warrior プログラムSecure Code Warrior 。現在、このプログラムは企業のニーズに緊密に連動し、具体的な成果を提供するとともに、社内チームにとって関連性と魅力を維持しています。

結果：組織全体におけるセキュアコードの新たな基準

Paysafeのアプリケーションセキュリティ対策は、4年前の取り組み開始以来、着実に進化を遂げてきました。Secure Code Warriorパートナーシップを通じ、Paysafeは開発者向けリスク管理の包括的アプローチが組織全体に及ぼす多大な影響力を実証しています。

PaysafeによるSASTスキャンデータの分析では、Secure Code Warrior Warriorで訓練されたチームが開発したアプリケーションにおいて、初期開発段階でのスキャンで検出される脆弱性が顕著にSecure Code Warrior 。さらに、開発者がSCWプラットフォームに積極的に関与しているチームでは、初回スキャンで検出される脆弱性の数がさらに減少しました。

Secure Code Warrior 最も高い活動レベルと関与度を示したチームは、開発初期段階で発見される脆弱性が年々大幅に減少していることをSecure Code Warrior 。これは、セキュアコーディングの習慣を強化するためのスキルベースの継続的トレーニングの付加価値を明らかにしています。 開発初期段階からセキュアなコードを作成したことで、当該チームおよびSDLCの他チームは大幅な時間短縮を実現しました。開発初期段階で脆弱性を未然に防止した結果、脆弱性の特定・記録・修正作業が不要となり、数千時間もの開発時間を節約できたのです。 これにより開発者の生産性が45%向上し、セキュアコーディングスキルの向上と日常開発プロセスの改善がもたらすメリットが実証されました。エンジニアリングチームとAppSecチーム双方にとってWin-Winの解決策です。

ペイセーフのセキュアコードへの取り組みは、同社を際立たせ、銀行・金融サービス^{ベンチマークにおける} SCW Trust^Score®で 第4位を獲得する一助となりました。 この成果を誇りに思う一方で、ペイセーフのセキュアコードへの取り組みはここで終わりではありません。Secure Code Warriorパートナーシップによる成果に後押しされ、ペイセーフはプログラムのさらなる改善を目指しています。

「Secure Code Warrior 開発者の生産性向上、製品や機能改善の市場投入スピードの加速、そして長期的なコストとリスクの大幅な削減Secure Code Warrior 」と、PaysafeのITセキュリティ責任者であるアラン・オズボーンは述べています。 「開発者向けの強化されたトレーニングによって支えられたセキュアコーディングは、単なる利点ではなく、実証済みの投資であり、真の投資対効果を生み出すと同時に、開発者のスキル、経験、能力を強化することを実証しました」

次に、Paysafeは、ガバナンスとリスク管理の追加措置をプロセスに組み込むことで、セキュリティ基準の運用性を高めることを目指しています。SCW Trust AgentはSecure Code Warrior との長年のパートナーシップを深化させSecure Code Warrior サイバーセキュリティの卓越性への取り組みを実証しています。