「コードのゲーム」がIAGグループをより安全なコーディングの未来へ導く方法

IAGグループは、アジア太平洋地域における数多くの主要保険会社の母体であり、年間約114億豪ドルの保険料で数百万の顧客に保険契約を提供しています。ビアンカ・ワースは、IAGグループの企業セキュリティに関する教育と啓発を担当しています。 開発チーム内におけるセキュリティ意識と厳格な実践の必要性を強く認識し、チームが安全なコーディング技術という重要な手法を学べる真に革新的で最適な環境の構築に着手しました。

ENTREZ : コードのゲーム

挑戦

開発者は、複数の納品物や進行中のプロジェクトに追われ、常に時間的制約に直面しています。しかし、何百万もの機密性の高い顧客データプロファイルをハッカーから保護することは言うまでもなく、セキュリティに関するベストプラクティスを常に把握することは、あらゆる組織にとって最優先事項です。 ビアンカとそのチームは、サイバーセキュリティ対策の強化に向け明確な目標を設定しました。最優先課題として、IAGが開発するアプリケーションの攻撃対象領域を最小化することとし、開発者に対し重大かつ高リスクな脆弱性の特定と修正方法を教育することでこの課題に取り組む方針です。 確かに長期間のセキュアコーディング研修は存在するが、それらは煩雑で時間がかかり、納期が厳しい開発プロジェクトに専念すべき主要スタッフを拘束し、企業全体にプレッシャーをかける可能性がある。 開発チームのスキルを迅速に向上させ、作業負荷や運用への影響を最小限に抑える必要性が明らかになりました。さらに、オーストラリアとニュージーランドの開発者がそれぞれ異なるシステムで作業していたため、これは簡単な課題ではありませんでした。

「今年、私はソースコードに変更を加え、SQLインジェクションの脆弱性を除去しました。この知識については、Game of Codesに感謝しています。セキュアコーディングを意識しておくこと自体も有益です。コンテストは人々に最善を尽くさせる良い手段です... だって、正直言ってセキュリティは誰にとっても最も興味深い話題じゃない。だから、人々を巻き込むには良い方法なんだ。」開発者R 、IAG

実施

ビアンカは、社内開発者のスキル向上を目的としたトーナメントやトレーニングの実施Secure Code Warrior 、チームおよびSecure Code Warrior 連携し、遊び心のあるトレーニング体験を展開する戦略を策定しました。 このため、強力なコミュニケーション戦略の構築が不可欠であり、また全く新しいプラットフォームを採用し、その可能性を最大限に活用する従業員の多様な動機や性格を考慮する必要がありました：

「私たちはコミュニケーション計画を策定し、従業員や主要な利害関係者に伝えるべきポイント、主要メッセージ、そして彼らにも応答してもらうためのインセンティブをどのように伝えるかを示しました。ほとんどの人はゲーミフィケーション体験を本当に楽しんでいます。それは彼らの性格、動機、そして何に駆り立てられるかによって異なります。 だからこそ、私たちは人々の多様な動機に応えようと努めています。賞品に熱狂する人もいれば、達成感そのもので満足する人もいるのです」と彼女は 語った。

ビアンカとIAGは、Secure Code Warriorゲーミフィケーション学習プラットフォームを巧みに紹介し、トーナメントを「コードゲーム」と称される楽しい競技体験へと変貌させた。スタッフは中世をテーマにした家々に配置され（プレイヤーにはブランドグッズが提供）、HBO制作の同名作品にふさわしい戦いを繰り広げた。

この大会は国際的な舞台にも拡大され、オーストラリアとニュージーランドの対戦が間もなく開始される。これによりIAGは両国の主要な安全チャンピオンを特定し、チームが共同でスキルを強化する機会を得られる。

結果

Game of Codesは実際には専門的なトレーニングプログラムです。インタラクティブで楽しいトーナメント形式での展開により、スタッフは様々な形で関与し続けましたが、演習の基本的な実用性は変わりませんでした。それは、IAGが開発したアプリケーションにおける高リスクの脆弱性を特定し、無力化するスキルを開発者に提供することです。

開発者とセキュリティチームがセキュリティ中心の視点で作業し、脆弱性を特定するだけでなく初期段階で修正する体制を整えることで、IAGは高コストな侵入テスト演習の削減と、それを実施するチームへの負担軽減を見込んでいます。

この重要なスキルが継続的に育成されることに加え、Game of Codesは関係構築にも貢献しました。参加チーム間に仲間意識と友好的な競争心を醸成すると同時に、プレイヤーがスコアリング方式のトーナメント環境で自身のセキュアコーディング能力を測る中で、その能力に対する自信を深める手助けとなったのです。

ビアンカは、プログラムに対する内部の支持が非常に大きく、経営陣からも好意的に受け入れられたと述べた。これにより、プログラムの推進と組織内の安全確保を推進したいと考える人々が参加できる「アンバサダープログラム」も導入された：

「これは一部の開発者にとって素晴らしい展示会であり、彼らのスキルを効果的にアピールする機会となりました。また、彼ら自身の仕事にも良い影響を与えている点は、特筆すべきことです。」

「単なるゲーム」や、部門責任者がコンプライアンス研修を受けるための単なる楽しい手段とは程遠い存在であるGame of Codesは、魅力的な定着促進ソリューションを提供し、初心者を短期間でセキュリティの達人へと変貌させます。これは大規模な侵害リスクを最小限に抑えるために不可欠な要素です。

そして最後の一言、ビアンカ本人からのアドバイス：

「プログラムを展開して、人々がそれを使うことを期待しても、それは機能しません。行動変容を促し、動機づける枠組みの中で、そのことを前提にプログラムを設計する必要があります。私たちが構築したのは、本質的に開発者向けの、セキュリティに焦点を当てた変革管理プログラムでした。」

Game of Codesのトレーニングセッションを受講した後、私はセキュリティ分野への関心がより強まり、自動化テストの作成時にセキュリティを考慮するようになったことに気づきました。私はアジャイルチーム内のシニアテスターとして活動しており、これらのトレーニングセッションを通じてセキュリティテストについてさらに学び、専門分野として追求する可能性について考えるようになりました。A , シニアテスター IAG

ファクト・ア・ピックス

• ゲーミフィケーション学習に加え、IAGは開発者採用のためのスキルテストSecure Code Warrior 活用しています。
• 彼らは現在、開発チームの100％に対してプログラムを展開中であり、そのうち55％が既にシステム内で活動しています。
• 彼らは、時間の経過に伴うリスク最小化とコスト削減という観点からプログラムの成功を測定するための内部パラメータの主要なセットを開発した。