開発チームがコーディングのセキュリティ対策に関して夜も眠れないほど心配しているのはなぜでしょうか？

非セキュアなコードは企業に数百万ドルの損失をもたらす。では、なぜ企業はセキュアなコーディング手法を採用しないのか？

ほぼすべてがソフトウェアに依存する世界では、 コードの安全性を確保することが不可欠です。 ブランドの評判と財務の持続可能性は、その安全性に左右されます。とはいえ、安全なコーディングには多くの懸念事項があり、その完全かつ効果的な導入を妨げる多くの障害があります。 これまで以上に、新しい働き方が求められています。そこで 2020 年、Secure Code Warrior Evans Data Corp.Secure Code Warrior 、開発者とその管理職が、セキュアなコーディング、セキュアなコードの実践、セキュリティ運用についてどのような考えを持っているかを調査する一次調査* を行いました（ホワイトペーパーをダウンロード）。 こちら）。

現在、企業は安全なコーディング慣行の実施に苦労している。開発者も管理者も、脆弱性の管理とコードの責任の所在を特に懸念している。

明らかに、より優れたトレーニングと安全なコーディング実践を支援するプログラムが必要である。この必要性は、開発者と管理職に安全なコーディングに関する懸念を尋ねた際に明らかになる。我々の調査*によれば、両グループは同じ根本的な懸念を共有していた。しかし役割の違いから、どの懸念が最も差し迫っているかについては見解が分かれた。

開発者の主な懸念は「過去の脆弱性を再現するコードを含めること」である。開発者はコードの品質で評価されるため、これは驚くべきことではない。開発者は誰も、安全でないコードや、再作業が必要でチームの進行を遅らせるコードを生み出すことを望んでいない。

開発者にとって二番目に重要な懸念事項は、同僚によって導入されたエラーの管理である。期限の遵守とコードに対する責任も同様に上位に挙げられており、セキュアなコードの習得が課題であることも確認されている。これはセキュアなコードに関する新たな教育アプローチの必要性を改めて裏付けるものである。

一方、管理職はよりトップダウン型の視点を採用する。

チームリーダーおよびチームマネージャーとして、彼らの主な関心事はコードの説明責任を果たすことである。チームが不良コードを生成した場合、その責任はマネージャーにある。

脆弱性を再現するコードが第二位となる。学習プロセスが困難である点が第三位となる。現行のセキュアコーディング研修アプローチが期待される成果を上げられないため、管理者は新たなアプローチが必要であると認識している。

セキュアなコーディング手法の導入における障壁

組織内で安全なコーディング手法の導入を妨げる要因について責任者に尋ねたところ、二つの点が明確に浮かび上がった：コミュニケーションと研修である。

45％がステークホルダーと経営陣間のコミュニケーション不足を主要な障壁として挙げた。42％は新入社員のセキュアコーディングスキル不足を懸念している。同時に 、40％が研修の時間とリソースが不十分であると指摘した。

あらゆる組織において、安全なコーディング手法の導入を成功させるには、プロセスと人的資源に関連する障壁が存在する。

しかし、こうした解決困難な問題があっても、進歩は常に可能です。新入社員のセキュアコーディングスキルの不足や、研修・リソースの不足といった課題は、より容易に対処できます。

脆弱性を阻止する最前線に立つのは開発者たちだ。しかし、セキュリティ契約における自らの役割を果たすために必要な支援、ツール、トレーニングは十分に提供されているのだろうか？

彼らの懸念を考慮すると、簡潔な答えは「いいえ」です。

実を言うと、良い研修は講義のようにあるべきではない。

セキュアコーディング変革の推進役として、Secure Code Warrior 人間中心のアプローチSecure Code Warrior 、開発者が積極的にセキュアコーディングのスキルを学び、向上させるよう促します。実績ある学習プラットフォームは、開発チームとセキュリティチームが、各自のワークフローの中で文脈に沿った極めて関連性の高い学習を提供します。 これにより、脆弱性を検出するだけでなく、発生を未然に防ぐことが可能になります。

この種の実践的なトレーニングは、スキル向上の機会であり、キャリア発展の道筋です。脆弱性を真剣に解消し、チーム全体と連携してより高品質なコードを生み出したい開発者にとって、メリットしかない取り組みです。

詳細を知り、セキュリティを損なうことなく「左から始める」能力や安全なコードの迅速なリリースに与える潜在的な影響を確認したい場合は、 今すぐデモを予約してください。

*反応から予防へ：アプリケーションセキュリティの新たな姿。 Secure Code Warrior Evans Data Corp. 2020