セキュリティコードに関する情報

アプリケーションセキュリティ担当者、最高情報セキュリティ責任者（CISO）、最高情報責任者（CIO）、サイバーセキュリティ専門家——私は自身のソフトウェア開発とセキュリティ分野でのキャリアにおいて、世界中の様々な企業で働く彼らの多くと対話してきました。

状況やチームの経験、この絶えず変化するデジタル世界での時間の経過にかかわらず、一つの問題は変わらない。彼らは、セキュリティに関して開発チームを積極的に関与させることがほとんどできないのだ。セキュリティは依然としてタブー視され、チーム間の対立の種であり、業界の真の難題である。

しかしながら、ソフトウェアのセキュリティは、私たちの一般的な考え方をこのまま続けておくにはあまりにも重要すぎる。私たちは状況を変える努力をし、セキュリティを各開発者の職業生活に不可欠な要素としなければならない。そして、その最善の方法の一つは、例えばゲーミフィケーションを通じて、開発者に責任を持たせ、セキュリティに関与させることだと考えている。

現在の風景

開発者は大学を卒業する際、安全なコードの提供に関する実践的な知識がほとんどありません。彼らが就く職場では、セキュリティ研修が優先されることは稀です（優先される場合でも、通常は健康安全に関する義務的なコンプライアンス動画の一部であり、その退屈さゆえに誰も安全なコーディングを気にかけません）。 彼らのセキュリティに関する最初の経験は、往々にして監査やテストのバグ報告であり、それが突然将来のバージョンを中断させ、瞬時に創造的な思考を妨げます。彼らはセキュリティ報告の担当者との意見の相違に直面し、「セキュリティ」という言葉が彼らの心の中で「批判」と同義語になってしまいます。嫌だな。

ソフトウェアセキュリティに対するこうした否定的な認識が広く浸透しているのは本当に残念だ。何しろ、私のキャリアの中で最も素晴らしい思い出のいくつかは、ソフトウェアセキュリティを学んだ経験に結びついているのだから。 ハッカーとしての初期の頃、私はカンファレンスに参加して過ごしました。そこでは仲間と腕を競い合い（正直なところ、少し見せびらかすことも）、ソフトウェアを破壊するのが私と同じくらい好きな、同じ志を持つ人々と出会うことで、非常に楽しむことができたのです。

ブルコン、デフコン、ブラックハット…こうしたイベントは私のような者たちが友好的な競技会でスキルを発揮する機会を与えてくれた。反社会的行為への参加を認めるつもりはないが、中にはハッキングの腕前を誇示するため、他の参加者の携帯電話に侵入し、その情報をプレゼン画面に晒して皆の目に晒す者さえいた。 ソフトウェアを改善するため、脆弱性を見つけ出し、悪用し、修正することがゲームとなった。 数年前、私は中東の数百人の子供たちにサイバーセキュリティを教える機会に恵まれた。生徒の中にいた8歳の少女が、ゲームをしながらパスワードのブルートフォース攻撃やBase64エンコーディングを学んでいた光景を今でも覚えている。

ゲーミフィケーションはコーディング技術の指導にも活用されています。世界中の教育機関がこの手法を用いて、非常に幼い子供から高校生までを対象にコーディングを教えています。わずか4歳の子供たちがコードキャンプなどの休暇プログラムに定期的に参加するようになり、Pythonやその他の言語で子供たちにコーディングを教える素晴らしいオンラインプログラムも数多く存在します。 私は4歳の娘のために、画面を使わない画期的なプログラミングツール「キューベット」を購入しました。

しかしながら、こうした喜びや進歩にもかかわらず、一つの隔たりがある。ゲーミフィケーションを活用して開発者にセキュアなコードの書き方を訓練する可能性について、誰も考えてこなかったのだ。

ええと…ほとんど誰もいません。数年前、セキュリティに再びインスピレーションを与え、開発者たちが実際に参加し、取り組み始めるよう動機づける必要があることに気づきました。

ゲーミフィケーション：最もシンプルな解決策。

私は開発者がセキュリティに関する知識を習得する手助けをすることに深く決意しており、この情熱こそがSecure Code Warrior創設する原動力となりました。ソフトウェアのセキュリティは非常に重要であり、そして本当にエキサイティングなものになり得るのです。

私だけがそう考えているわけではない。

ゲーミフィケーションは、最も平凡な作業さえもさらに楽しくし、プレイヤーがプレイを続け、勝利し、進歩するための十分な動機付けを維持できるようにします。ポケモンGOのプレイ方法を見れば明らかです！最も怠惰な人さえもソファから立ち上がらせ、架空の生き物を探しに出かけさせ、あるいはFitBitが歩数目標を日課とする仕組みを発見させました... 目標が達成されず、連続記録が途切れ、バッジを獲得できないと、本物の失望感が湧き上がるのです。

では、セキュリティ教育について改めて考えてみましょう。私たちは数多くの顧客に対し、ゲーミフィケーションが組織のセキュリティ文化を真に変革するために不可欠であることを実証してきました。具体的には、アプリケーションセキュリティチームと開発チーム間の連携を強化し、より高い基準を満たすソフトウェアの開発を支援することで実現しています。

現時点では、セキュリティは開発者の最優先事項ではありません。トレーニング手法に親しみやすく、競争的で没頭できる要素を加えることで、開発者は単に「遊ぶ」だけでなく、より多くのポイントを獲得し、最高記録を更新し、精度を高め、他のチームメンバーに挑戦するために繰り返し参加するよう動機づけられます。

私たちはすでに、成功したトレーニングが次のようなものであることを知っています：

• 開発者は実際のコードで作業し、自身の言語やフレームワークを使用することが可能です
• 課題は短く、一般的なセキュリティの脆弱性をすべて網羅している
• 課題は常に拡張・更新され、開発者が継続的にスキルを向上させられるように設計されています
• 課題は複雑さが様々であるため、経験豊富な開発者にも経験の浅い開発者にも興味深いものです
• 開発者とその責任者は、達成した進捗状況を確認できます。具体的には、克服した課題、強みと弱み、トレーニングに費やした時間、および総合的な正確性などが含まれます。

当社の主要顧客の一社が、ゲーミフィケーションプラットフォームの本質的な魅力を実証しました。導入時には開発者向けにテーマに沿ったチームグッズを提供し、ゲーム優勝者には豪華な賞品を贈呈。大会そのものを忘れられない一日へと昇華させたのです。その後も国際的な競技会を開催し続け、現在に至るまで全チームが真剣にトレーニングを継続しています。

あなたのソフトウェア革命はここから始まります。オーストラリアの銀行業界は、従来の（退屈な）トレーニングを刷新する真に革新的なアプローチの一環として、不良コード対策にゲーミフィケーション型トレーニングを導入する先駆者です。当社のクライアントが実施したハイレベルなトーナメントの成果をご覧ください。さあ、私たちと共にチームを強化する準備はできていますか？

我々は状況を変える努力をしなければなりません。セキュリティを各開発者の職業生活に不可欠な要素とするのです。そして、その最良の方法の一つは、例えばゲーミフィケーションを通じて、開発者に責任を持たせ、セキュリティに関与させることだと考えます。

9月3日、チームメンバー数名と私は、CSOオーストラリア主催の素晴らしいセキュリティ表彰式に出席しました。オーストラリアで初めてとなる「2019年セキュリティ分野における女性賞」は、業界で最も著名なセキュリティ専門家たちの参加という驚くべき成果をもたらしました。 これはサイバーセキュリティ分野における女性の貢献を称えるとともに、目立たない存在でありながら卓越した仕事に取り組む女性たちが示す、驚くべき才能と革新性を称える不可欠な場となりました。

Secure Code Warrior 副社長（別名チーフ・オーサム）、ファテマ・ベイドゥーンがこの日の中心人物であったことを大変誇りに思います。彼女は「未来のためのメンターシップ：サイバーセキュリティ分野の女性人材育成において、私たち全員がより良い支援を行う方法」と題した講演を、非常に共感的な聴衆に向けて行いました。 わずか12分では、彼女がサイバーセキュリティ業界全体に、そして私たち一人ひとりにもたらした長年にわたる影響を語り尽くすには程遠いものの、彼女は（指導者として牽引したことは言うまでもなく）決定的な前向きな変化を目の当たりにしてきました。

より包括的なアプローチ。

「この業界でのキャリアを始めた頃」とファテマは説明する。「私が配属されたチームで女性メンバーはごく少数でした。ネットワーキングの機会も男性中心が多く、参加できず、適切な人脈を築けず、企業にとって不可欠な価値を示すことができませんでした。 J'ai cherché à changer cette dynamique, en créant un espace plus inclusif lorsque cela était possible.

Par exemple, j'assistais souvent à des événements de l'industrie et je découvrais que de nombreux stands d'entreprises utilisaient des modèles promotionnels pour attirer l'attention sur leurs stands. 理論的には良いのですが、私は明らかにターゲット市場ではないため、しばしば無視されていました。キャリアの初期にイベントの企画を担当した際、自社製品の注目を集めるため、より包括的で楽しい方法を見つけることに力を注ぎました」と彼女は述べています。

ファテマと私は長年共に働いており、彼女は常に私たちが活動する企業内での包括性と多様性を擁護してきました。これにより、チーム内での女性のキャリアパスが増え、重要な貢献が認められ、異なるアプローチ、意見、視野によって強化された集団が形成されてきました。

「もちろん、誰も象徴的な女性になりたくはないでしょう」とファテマは語った。 「しかし問題は、多様性に欠ける経営陣が、自分たちに似た、個人的に共感できるリーダーを後継者に選ぶ傾向にあることです。こうした幹部たちは、実力と能力に基づいて女性の貢献を享受できるはずなのに、彼女たちが地位を築くのは往々にして困難なのです」 経営陣が多様性（これは性別を超えた概念です）がもたらす強みに気づけば、こうした道筋を作り、組織のために素晴らしい仕事ができる準備ができ、意欲があり、能力のある女性を登用し始めることに、彼らはしばしば非常に前向きです」と彼女は語った。

職場の柔軟性：成功の鍵となる要素

自営業を始めた時、チームメンバーに息をつく余裕を与えることが最高の成果を生むとすぐに学びました。柔軟性は誰にとっても重要ですが、従業員の家族を支援する施策は、重要な人材を維持するのに役立ちます。

ここで導入された最初の施策の一つが、職場における乳児ケアに関する方針でした。これにより、新たな母親たちはより迅速に職場復帰が可能となり、診察の予約に必要な柔軟性が確保され、また赤ん坊を職場に連れて行く際にも周囲の目を気にすることなく対応できるようになりました。

「母親であることとキャリアのどちらかを選ばなければならなかったのは嫌でした。幼い息子を職場に連れて行けるという選択は、私を支え、価値ある存在だと感じさせてくれる、とても前向きな決断でした」とファテマは語った。「出産後に私の能力が消えるわけではありません。スタートアップの創設メンバーとして、ただまた仕事に戻りたいだけなんです！」

彼女はABCニュースに対し、柔軟な働き方の利点について次のように語った：

メンターシップの文化は活発に育まれていますか？

キャリアの軌道に乗せ、その勢いを維持するためには、メンターを活用するのが優れた方法です。ITやサイバーセキュリティなど男性優位の多くの分野では、管理職における男女のバランスが崩れており、これはやや困難な状況です。

女性が管理職に就く姿に「自分自身」を見出すことが重要である一方で、男性もまた、チームの知性ある女性を励まし、可能な限り指導することで貢献できる。

「経営陣は組織の多様性に大きな影響を与えつつ、優れた女性たちが他の誰にも劣らず当然受けるべき評価とキャリアパスを得られるよう確保できます。ジェットスターのサイバーセキュリティ責任者、イヴェット・レジンズ氏の事例がその実例です。 彼女は女性の擁護者であり、自らの成功と努力によって前進を遂げると同時に、他の女性たちが頂点を目指す自信を取り戻す手助けをしてきました」とファテマは語った。

現在、Secure Code Warrior 。全社で女性の割合が50％を超えていることを誇りに思います。ファテマは皆にとって模範であり、卓越したメンターです。

あらゆる企業は、チームの多様化から計り知れない恩恵を得られます。様々な背景から生まれる多様な意見こそが、優れたアイデアをさらに優れたものへと変える秘訣となるのです。何と言っても、私たちは共に力を合わせるときに最も強くなるのです。

よく知られている説によれば、ゴキブリは核爆発でさえも生き延びられるほど、ほぼあらゆる状況に耐えられるという。この説はある程度まで真実ではあるが、その単純な身体構造ゆえに、ゴキブリは体長に対して非常に頑強であり、ほとんどの環境下で根絶が困難である。

私は考えた…もしデジタル世界にゴキブリに相当するものが存在するなら、それはコード内のSQLインジェクション脆弱性（SQLi）に違いない。この脆弱性は20年以上前から知られているが、組織は繰り返し被害に遭っている。ターゲット社に対する広範かつ多大な損害をもたらした攻撃はSQLインジェクションが原因であり、イリノイ州の選挙システムへの侵入事件（20万件の有権者記録が流出）も同様である。この事態を受けFBIは全IT管理者に対し、セキュリティ対策の迅速な強化を勧告した。

ディンペルバのハッカーインテリジェンスイニシアチブ報告書によると、2005年から2011年にかけて報告されたデータ侵害の83％でSQLインジェクション攻撃が利用されていた。現在もインジェクション関連の脆弱性はOWASPトップ10における主要脅威であり続けている。これらは比較的単純な手法だが、決して消えることはない。

この脆弱性が、アプリケーションのセキュリティ分析において依然として頻繁に発見されるのは滑稽に思える。その仕組みも阻止方法も我々は知っている。どうしてこんなことが起こり得るのか？真実は、我々のソフトウェアのセキュリティにはまだ改善の余地があるということだ。

ベラコードのソフトウェアセキュリティ状態レポート（2017年に実施した40万件のアプリケーションスキャンに基づく）は、憂慮すべき統計を明らかにしました：OWASPトップ10ポリシーを満たしたアプリケーションはわずか30％でした。 この傾向は過去5年間にわたり継続しており、最近スキャンされたアプリケーションの3分の1近くでSQLインジェクションが検出されています。 これは根深い問題の証拠です。私たちは過ちから教訓を学んでおらず、情報セキュリティ担当者は十分なセキュリティ人材を確保するのに苦労しているようです。一般的に、アプリケーションセキュリティ専門家と開発者の比率が100人あたりで不十分です。

ソフトウェアのセキュリティはなぜサバイバルモードなのか？

セキュリティ専門家が不足していることは周知の事実ですが、開発者が問題を発生時に解決せず、最初から脆弱性を導入しないための十分な手段を明らかに備えていない点にも注意が必要です。 Veracodeの同じ報告書では、開発関連の脆弱性のうち、文書化された緩和策が用意されていたのはわずか14.4%であることが明らかになった。つまり、大半の脆弱性は開発関連の緩和策なしに報告されていたのである。 脆弱性の3分の1未満が90日以内に修正され、42％の脆弱性は開発期間中に一切修正されなかった。

私はセキュリティ専門家、最高情報セキュリティ責任者（CISO）、最高経営責任者（CEO）らと絶えず議論を交わしているが、興味深いことに、多くの企業が検出された脆弱性の数に苛立ちを募らせていることがわかった。特に、軽減できない脆弱性（偽陽性という厄介な問題に加えて）に対しては、 脆弱性の調査を完全に停止し、ただ祈るように事態がうまくいくことを願っているのです。

なぜアプリケーションセキュリティの専門家たちは、このような事態を許してしまうのか？

誤解しないでください：AppSecのユーザーはコードの問題を非常に強く認識しています。結局のところ、それが彼らの基本的なスキルの一つであり、チームにとって非常に貴重な存在である理由です。しかし、彼らはしばしばいくつかの要因によって妨げられています。

例えば、アプリケーションセキュリティ責任者は問題を発見し、開発者に「コードを修正できますか？」と尋ねるでしょう。この重要な質問への回答は組織によって異なりますが、一般的に開発者は機能提供の厳しいスプリントに追われており、こうした問題を解決する時間や適切な支援ツールを単純に持っていないのです。 アプリケーションセキュリティの専門家自身は脆弱性を特定できるかもしれませんが、現場で修正するための必要なスキルやアクセス権限を保持していない場合が少なくありません。

また、あらゆる問題に対しては解決策を見つけ、実装し、テストする必要があることも認識しなければなりません。コード内で検出された些細な問題でさえ、解決に要する時間は言うまでもなく、必要なリソースは膨大です。ソフトウェアには700以上の脆弱性が導入される可能性があり、たった一人の人間がこれらすべての脆弱性に対抗することは単純に不可能です。 このため、ほとんどの企業はOWASPトップ10のみに注力しています。その間も開発者は機能開発を続け、書き上げるコードに新たな脆弱性を生み出し続けているのです。

解決策は何ですか？

問題は、開発者にセキュアコーディングの成功に必要なツールやトレーニングを提供していない点にある。企業が開発者に適切なセキュリティスキルを習得させることを義務付ける規制は存在せず、悲しい現実として、ほとんどの大学や研修プログラムも初心者の開発者にセキュアコーディングの基礎を教えていない。

航空機の操縦を志す者には、飛行前に厳格なプロセスが課せられる。これには訓練、実地経験、健康診断、安全知識、試験が含まれる。この徹底した準備と技能認定なしに空へ放り出されるなど、誰も想像しないだろう。しかし、コードを書く際にはこれが日常的に起きている。

開発者に安全なコードの書き方を教育する時間を割く必要があります。しかし、ソフトウェア開発が急速に進み、優秀な開発者とセキュリティ専門家が不足している現代において、これは決して優先事項とは見なされません。今こそ議論の方向性を変える時です。

世界経済フォーラムの最近のタイトルは「セキュリティなくしてデジタル経済は成り立たない」と叫び、付随するコンテンツはセキュリティをあらゆるデジタル変革戦略の中核に据える必要性を主張した。「セキュリティこそが企業を守り、革新を可能にし、新たな製品やサービスを創出する原動力である。 防御的役割を超え、セキュリティは企業の成長において戦略的優位性を提供する」

セキュアコーディングのスキルと成果の向上は、組織に強力なサイバー保護層を追加し、より効率的で迅速なコード作成を支援します。開発者がセキュリティの専門家になる必要はありませんが、サイバー攻撃に対する第一防衛線となるために、前向きかつ実践的な方法で能力を強化する必要があります。開発者は、セキュリティとイノベーションの次なるヒーローとなる可能性を秘めています。 彼らは非常に知的な人材であり、創造的な問題解決能力を持ち、通常はスキル向上を望んでいます。彼らが受けるに値する専門的なトレーニングを通じて強みを引き出し、より厳格なソフトウェアセキュリティ基準の遵守に取り組んでください。詳細については当社のホワイトペーパーをご覧ください。

航空機の操縦を志す者には、飛行前に厳格なプロセスが課せられる。これには訓練、実地経験、健康診断、安全知識、試験が含まれる。この徹底した準備と技能認定なしに空へ放り出されるなど、誰も想像しないだろう。しかし、コードを書く際にはこれが日常的に起きている。

ポップカルチャーには、不正なAIやロボット、人間である所有者に牙をむくデバイスに関する言及が数多く存在する。これらはSFやファンタジーに深く根ざしているが、IoTや接続デバイスが家庭で普及するにつれ、サイバーセキュリティや安全性の議論も同様に重要性を増すはずだ。 ソフトウェアは至る所に存在し、私たちがどれほど多くのタスクをコードに依存しているかを忘れがちです。それらは革新と利便性をもたらす知的な作業を遂行しています。ウェブソフトウェア、API、モバイルデバイスと同様に、組み込みシステムの脆弱なコードも、攻撃者に発見されれば悪用される可能性があります。

マイクロ波軍団が人類を支配する可能性は低い（テスラロボットは少々懸念材料だが）とはいえ、サイバー攻撃の結果として悪意のあるサイバー事象が発生する可能性は常に存在する。 自動車や航空機、医療機器の一部も、重要な機能を遂行するために複雑な組み込みシステムコードに依存している。こうした機器が侵害される可能性は、単に憂慮すべきだけでなく、命に関わる事態を招きかねない。

他のあらゆる種類のソフトウェアと同様に、開発者は開発フェーズの初期段階からコードに最初に触れる立場にある。そして他のあらゆる種類のソフトウェアと同様に、このソフトウェアもまた、製品が稼働する前に見過ごされる可能性のある、潜伏的で一般的な脆弱性の原因となり得る。

開発者はセキュリティの専門家ではなく、どの企業も彼らがその役割を担うことを期待すべきではありません。しかし、彼らには自らが直面する脅威に対処するための、はるかに強力な手段が備わっています。 組み込みシステムは、主にC言語やC++で記述されており、技術的ニーズが進化し続けるにつれて、ますます頻繁に利用されるようになるでしょう。そのため、この環境のツールに関する開発者向けの専門的なセキュリティトレーニングが不可欠です。

爆発するエアフライヤー、不正車両…私たちはカモなのか？

安全な開発に関するいくつかの基準や規制は存在するものの、私たちの安全を確保するためには、ソフトウェアセキュリティのあらゆる側面において、より精密かつ意義深い進歩を遂げる必要がある。 エアフライヤーのハッキングによる問題を考えるのは誇張に思えるかもしれないが、実際に遠隔コード実行攻撃（脅威の作者が温度を危険なレベルまで上昇させることを可能にする）として発生した。同様に、車両の乗っ取りにつながる脆弱性も存在する。

特に自動車は、自動ワイパーからエンジンやブレーキの制御に至るまで、複数のマイクロ機能を担う統合システムを多数搭載しているため、極めて複雑である。 Wi-Fi、Bluetooth、GPSといった通信技術の普及に伴い、コネクテッドカーは複雑なデジタルインフラを形成し、多様な攻撃経路に晒されている。2023年までに世界で7,630万台のコネクテッドカーが走行すると予測される中、真のセキュリティを実現するには、防御基盤の構築が不可欠である。

MISRAは、組み込みシステムに関連する脅威に対して効果的に対処する主要な組織であり、組み込みシステムにおけるコードの安全性、セキュリティ、移植性、信頼性を促進するためのガイドラインを策定しています。 これらのガイドラインは、各企業が組込みシステムプロジェクトにおいて遵守すべき基準の礎石を成しています。

しかしながら、この基準に準拠したコードを作成・実行するには、これらのツールとそのセキュリティレベルを信頼できる組込みシステムエンジニアが必要です。

なぜ組み込みシステムのセキュリティに関するスキル強化はそれほど特殊なのでしょうか？

プログラミング言語CおよびC++は、現在の基準では老朽化しているものの、依然として広く使用されている。これらは組込みシステムのコード基盤の機能的な中核を構成し、Embedded C/C++は接続されたデバイスの世界において現代的で輝かしい寿命を享受している。

これらの言語は歴史が古く、インジェクション脆弱性やバッファオーバーフローといった一般的な問題において類似の脆弱性挙動を示すものの、開発者が組み込みシステムにおけるセキュリティバグを効果的に軽減するには、実際の動作環境を模したコードで習熟することが不可欠である。 一般的なC言語のセキュリティ実践に関する汎用的なトレーニングは、組み込みC環境での作業により多くの時間と注意を割く場合と比べて、単純に効果的でも記憶に残るものでもありません。

現代の車両には12個から100個以上のシステムが統合されているため、開発者はIDE内で直接、何を探すべきか、そしてどう対処すべきかについて正確なトレーニングを受けることが不可欠です。
‍

組み込みシステムの保護は、基礎段階から全員が責任を負うべきである

多くの組織における現状は、少なくとも開発者の責任範囲においては、開発のスピードがセキュリティを凌駕している。 開発者が安全なコードを生成する能力はほとんど評価されない一方で、優れた機能を迅速に開発することが絶対的な基準となっている。ソフトウェアへの需要は増加の一途をたどるが、この文化は脆弱性やそれらが引き起こすサイバー攻撃との戦いで敗北する運命を我々に用意している。

開発者が訓練を受けていない場合、それは開発者の責任ではなく、AppSecチームのメンバーが適切なスキル強化プログラムを推奨することで補うべき欠陥である。そのプログラムは開発者コミュニティ全体にとってアクセス可能（評価可能と言っても過言ではない）でなければならない。 ソフトウェア開発プロジェクトの開始時点から、セキュリティは最優先事項とすべきであり、特に開発者を含む全員が、自らの役割を果たすために必要な立場を与えられなければならない。

組み込みシステムのセキュリティ問題の解決

バッファオーバーフロー、インジェクション脆弱性、ビジネスロジックのバグは、組み込みシステム開発における一般的な落とし穴です。単一の車両や機器内のマイクロコントローラーの迷路の奥深くに潜むこれらの問題は、安全性の観点から壊滅的な結果をもたらす可能性があります。

バッファオーバーフローは特に頻発する問題であり、以前取り上げたエアフライヤーの脆弱性（リモートコード実行を可能にした）にこれがどのように関与したかについて詳しく知りたい場合は、CVE-2020-28592に関するこのレポートを参照してください。

実際の組み込みC/C++コードにおけるバッファオーバーフロー脆弱性について理解を深める時が来ました。この課題に取り組み、この厄介なバグの原因となる誤ったコーディングパターンを特定・修正できるか試してみてください：
‍

どうにかやりくりできたのか？組み込みシステムのセキュリティに関する正確で効果的なトレーニングは、www.securecodewarrior.comをご覧ください。

この記事は当初、 DevOps.comに掲載されました。更新および修正が加えられています。

「ブロックチェーン」や「ビッグデータ」、「デジタルディスラプション」と同様に、「DevOps」という用語も、現在大企業のIT部門で使用されている流行語の一つである。

多くの人が（正しく）ソフトウェア開発ライフサイクルの加速化が必要だと認識しています。ビジネス目標と緊密に連携した、より精緻なプロセスにより、開発チームと運用チーム間の明確なワークフローと協業が可能になります。DevOpsは本質的に「アジャイル」な開発手法であり、現代企業が求める絶え間ない革新と迅速なデプロイメントのニーズに対応できるよう設計されています。 セキュリティ専門家にとって、これは素晴らしい取り組みです。セキュリティをプロセスに早期に組み込むことで、バグ修正コストを削減し、途中の潜在的な大惨事を回避できるからです。

問題は、DevOpsを実際に導入できる企業が少ないことです。社内の適切な支援、奨励、理解がなければ、DevOpsはすぐに「象の骨」状態に陥ります…つまり、誰もが口をつぐむ「タブー」プロジェクトの一つになってしまうのです。

では、問題は何でしょうか？これは興味深い議論であり、DevOpsに取り組む方法はいくつか存在します。それらは、方向性を定める上で役立つと私は考えています。 効果的なプログラムは、新しいツールや肩書き、洗練されたチームミーティングだけで成り立つものではありません。常に容易とは限りませんが、欠陥のある戦略を修正する（あるいは最初から適切な方法で導入する）ための時間を割くことは、長期的にははるかに苦痛が少ないでしょう。最終的には、より高品質で安全なソフトウェアへとつながります。

分解してみましょう：

「アジャイル」というエプロンの紐を解け。

アジャイルかDevOpsかの二者択一を迫られ、一方の道を選択したら二度と戻れないという誤解が存在する。

実際のところ、開発プロセスは両者を一体として捉え、実装する際に最も効果を発揮します。DevOpsはアジャイル開発の再発明ではなく、むしろその拡張です。プロセスがアジャイルと全く同じであること、あるいはアジャイルとは完全に異なるものであることを期待すると、車輪が外れる傾向があります。

アジャイルは、設計者、テスター、開発者を初期段階から集結させ、プロジェクト全体を通じてコミュニケーションラインを開くことに注力することで、クロスファンクショナルチームの原則を支持します。その目的は、部門間の壁による納品と二重管理を終わらせることです。これらはDevOpsプロセスの二つの利点です。 しかしDevOpsはさらに一歩進み、システム、セキュリティ、運用を統合することで、堅牢なエンドツーエンドのスキルセットを提供します。その究極の目的は、顧客に完全かつ機能的なソフトウェアを届けることにあります。

DevOps中心のプロセスへの移行に伴う避けられない困難の中で、開発が分断されるリスクが再燃する可能性があります。多くの場合、元のアジャイルチームは協働する一方で、セキュリティや運用に関連する追加要素は依然として組織内に位置づけられていません。誰がそれらをどう組み込むべきか、何をすべきか、そして全体的な目標が何であるかを、誰も本当に理解していないのです。

DevOpsは、明確に定義された目標、部門横断的な連携、そして関係者全員との直接的なコミュニケーションなしには機能しません。もちろん、変化を慎重に管理する必要がある適応期間が存在しますが、DevOps機能による改善を通じて全員の認識を統一することが、成功の半分を占めるのです。

幸いなことに、DevOpsはプロセスの一環としてセキュリティのベストプラクティスにも重点を置くようになってきており、この段階の神秘性を解き明かし、セキュリティチームと他のチームとの間の隔たりを埋めています。 繰り返しになりますが、開発者が最初から安全にコーディングできるようになるにはまだ長い道のりがありますが、DevOps手法の成功した導入は、開発チーム内でセキュリティスキルを強化するための優れた基盤となります。

自動化がすべてではない（そして最も確実な解決策でもない）。

DevOps手法のもう一つの特徴は、ある程度ソフトウェア開発プロセスの自動化にあります。継続的インテグレーションと継続的デリバリー（CI/CD）の原則がこの概念の基盤であり、おそらくお察しの通り、ツールに大きく依存しています。

ツールは素晴らしいものです、本当に。 コードリポジトリ、テスト、保守、ストレージ要素を比較的スムーズに管理することで、ソフトウェア提供プロセスに前例のないスピードをもたらすことができます。

しかし、ロボットがいつか私たちの仕事を奪い、私たちを監禁する可能性はあるものの、現時点ではまだその段階には至っていない。ツールや自動化への過度な依存は、エラーの発生を招く余地を残している。 スキャンやテストでは全てを検出できず、コードが検証されない可能性があり、これは長期的に見て（セキュリティは言うまでもなく）重大な品質問題を引き起こす。攻撃者はデータを盗むためにたった一つのバックドアを悪用すれば十分であり、品質管理やセキュリティにおける人的要素を放棄することは壊滅的な結果を招きかねない。

「適切なバランス」とは、人とツールの調和を確保することです。ツールは、プロジェクト目標達成のために信頼できるチームを支援する手段として機能すべきです。以下の点を実践してください：

• ユーザーが選択したDevOpsツールチェーンに慣れるのに十分な時間を確保してください
• 効果的なコラボレーションに焦点を当ててください（そしてツールがどのように貢献できるかについても）
• プロセス上のあらゆる不足を補ってください。それがスキル、知識、ツールのいずれに関連しているものであっても。

要するに、単に「道具を揃える」だけで、すべてがうまくいくことを期待するだけではいけません。

DevOpsは流行語ではなく、文化です。あなたは自らのDevOps文化を育んでいますか？

変化の管理は、最良のケースでも困難です。未知への恐怖は、チームで最も優秀なメンバーでさえ、スキルを伸ばし視野を広げることを妨げることがあります。

つまり、「DevOpsをやりましょう」と言い、運用チームのデスクを移動させるだけでは、魔法のように成功したプロセスが実現するわけではないのです。 多くの人々が混乱し、古参メンバーは不満を抱くでしょう。期待値の明確な伝達と「行動で示すこと」が極めて重要です。DevOpsは開発手法であると同時に文化的な変革であり、チームは部門横断的で協働的なマインドセットを体現し、実践しなければなりません。

優れたDevOps文化とはどのようなものか？

• 個人は、指導者だけでなく、プロセスに専門知識を提供することが認められている。
• チーム間のオープンで誠実かつ敬意あるコミュニケーション
• 各人は、開発プロセスに品質と安全性を組み込むという全体目標に対する責任を負う。
• 企業におけるDevOpsの定義、ロードマップ、そして各役割の「どのように」「何を」「なぜ」については、全員が同じ認識を共有している。

開発チーム内で積極的な安全文化を構築することの重要性を、私は長年強調してきました。DevOpsも例外ではありません。

適切なツール、知識、サポートは、セキュリティのベストプラクティスを適用し、発見される脆弱性の減少を実現し、チームにデータ保護の重要性を理解させるために不可欠です。DevOpsでは、前向きな変化のための文化的基盤を築く必要があります。つまり、各メンバーが自身の役割、価値、期待、プロジェクトの全体目標、プロセスの各段階を理解していることを確認することです。

これをマスターしましたか？素晴らしい。それでは、状況を変え、セキュリティ面を強化し、DevSecOpsをソフトウェアエクセレンスの究極の計画にしましょう。

退屈、退屈、退屈！ これは、セキュアコーディングのトレーニングが話題になるたびに、開発者からよく聞かれる反応のひとつです。Secure Code Warrior では、もっと良い解決策があるはずだと考えています。 そこで、エヴァンス・データ社に、開発者のセキュアコーディングに対する意識、セキュアなコーディングの実践、セキュリティ対策について一次調査を依頼しました（ホワイトペーパーのコピーをダウンロードしてください）。 こちら）

近日発売予定の書籍『反応から予防へ：アプリケーションセキュリティの新たな姿』において、開発者らは現在のセキュアコーディング研修に関連する主な課題について質問され、その回答は示唆に富むものとなった。

開発者を貶める研修

調査対象の開発者の40％は、セキュアコーディングが実情からかけ離れた形で教えられていると回答しました。40％は、研修が理論的すぎて実務と結びついておらず、「実践的」でないと感じています。30％は、日常的に使用するプログラミング言語環境における研修が不足していると指摘しました。 これは深刻な問題である。なぜなら、現在のセキュアコーディング教育が文脈的に適切ではなく、開発者の日常業務と実質的な関連性を全く持っていないことを示唆しているからだ。

多くの開発者にとって、最大の課題は、非効率的で安全性を最優先に考える動機付けにならない、気が散る作業中に眠気と闘い続けることである。

閉鎖的な環境での研修は、開発者が研究室と現実世界の間の認知的関連性を確立することを妨げる。

開発者がセキュアコーディング研修に求める3つのこと：

1. ほとんどの開発者は、より実践的で日常業務の文脈に適したトレーニングを望んでいると述べています。
2. 開発者の65％が、言語固有の脆弱性と OWASPトップ10に関する追加トレーニングが必要だと主張している。
3. 調査対象の開発者の75％が、体系的な職場内研修を好む。

開発者が成長できるトレーニング

職場内研修において、開発者は一定の経験と既存の知識を持ち込む。これは「足場を張る」学習の必要性を浮き彫りにする。 これは構造化された——あるいは足場を張った——研修であり、開発者が既に知っていることに基づいて進めるものです。足場を張った指導は、これまでの経験を活性化・強化すると同時に、新しいスキルを少しずつ習得し続けることを可能にします。このため、オンザジョブトレーニングに最適な方法となります。

永続する技能を伝承する

開発者向けセキュリティ教育において、開発者は理論ベースの静的な学習という苦行よりも、実践を通じた学習方法を好むことがわかっています。この観点から、極めて関連性の高い実践的な環境で安全なコーディングを学ぶことが不可欠です。 セキュアコーディング変革の推進役として、Secure Code Warrior 関連するプログラミング言語やフレームワークを用いた実践的・文脈に沿ったSecure Code Warrior 、開発者が現実世界で直面する課題と同様のチャレンジを経験できます。 教育コンテンツには、147種類以上の脆弱性（特に重要なOWASP Top 10、OWASP Mobile Top 10、OWASP API Security Top 10、CWE/SANS Top 25を含む）missions 5,500以上の課題とmissions が含まれています。

チームへの潜在的な影響と、より迅速に安全なコードを提供する能力を確認したい場合は、 今すぐデモを予約 今すぐ。

世界中の企業が変革を遂げている。デジタル中心の活動が重視される中、ほとんどの組織は実質的にソフトウェア出版社であると言える。大企業は従業員の中に大規模な開発チームを抱え、アジャイルなDevOps環境で機能の開発と継続的デプロイを担当させている。この機能提供は、イノベーションと顧客の期待に歩調を合わせねばならない。 しかし、セキュリティは依然として必要不可欠な要素ではなく、障害として認識されることが多すぎます。とはいえ、ソフトウェアへの依存度がかつてないほど高まっている現状（そしてそれに伴うサイバーセキュリティ上の脆弱性や潜在リスクへの曝露）を考えると、この状況は継続不可能です。

セキュリティチームは拡大しておらず、仮に拡大できたとしても専門知識は希少である。1:100以上の比率では明らかに不十分であり、自社専属のセキュリティ専門家だけではサイバー脅威の問題に対処する唯一の解決策とは見なせない。

当社のウェビナーでは、Secure Code Warrior アメリカ地域）ディレクターのスティーブン・アロール氏と、 キャピタル・ワンのサイバーセキュリティ担当上級役員であるラス・ウルフ氏と共に、DevOpsが直面する現在の課題と、キャピタル・ワンをはじめとする金融機関が、開発チームのセキュアコーディングスキルを向上させ、効果的にポジティブなセキュリティ文化を促進し、「左にシフトする」ことに成功するために講じている対策について深く掘り下げます。

以下を発見します：

• セキュリティ知識の「ブラックホール」に陥っている場合
• なぜ数十年前の方がセキュリティはより強固だったのか
• 従来のアプセックに対する姿勢、すなわちコンプライアンスの「チェック項目」としての扱い、そしてそれがせいぜい表面的なものに過ぎない理由
• アプリケーションの品質評価においてセキュリティを評価対象に含めるべき理由は、設計や機能性にかかわらず、安全でないアプリケーションは高品質とは見なせないためである。
• ソフトウェアセキュリティが業界全体で、平均的な開発者のマインドセットや文化に浸透していない理由（そしてそれが変わるべき理由）
• 共有されたセキュアコーディングのスキル不足が、同じ脆弱性が繰り返し出現する原因となっている
• アプリケーション分析ツールがすべての脆弱性を検出できない理由、そして十分な訓練を受けたセキュアエンジニア/開発者を活用して脆弱性を回避する方がより実行可能な戦略である理由
• ソフトウェアの脆弱性の増加問題とその根本原因
• なぜリスクを真に軽減するためには、学生ではなくアプローチを変える必要があるのか
• なぜほとんどのセキュリティ研修は、開発者の強みと彼らが卓越するために必要な研修形態を活用しないのか
• ソフトウェア工学の発展におけるコンプライアンスと期待が他の工学分野に劣る理由、そしてこの点において我々が解決策の先駆者である方法
• ラス・ウルフとキャピタル・ワンのチームが、開発者の関与を維持し、実際のソースコードで学び、セキュリティのベストプラクティスに関するベンチマーク目標を達成できる、遊び心のあるトレーニングを中心とした認定プログラムをどのように設計したか
• この認定プログラムが参加促進、知識定着、継続教育をどのように促進するか
• インセンティブが開発者をどのようにしてある訓練レベルから別のレベルへ移行させ、主要なセキュリティポリシーに沿って迅速にスキルを向上させるのに役立つか
• 評価がセキュリティのチャンピオンを特定し、トレーニングへの取り組みを促進する方法

今すぐオンデマンドでウェビナーをご覧いただき、左への移行と、開発者に最初から安全にコーディングするための必要なツールと知識を提供することの利点について、ポジティブなセキュリティ慣行に焦点を当ててご確認いただけます。

キャピタル・ワンなどの金融機関が、開発チームのセキュアコーディングスキルを向上させ、効果的にポジティブなセキュリティ文化を促進し、「左にシフト」を成功させるためにどのような取り組みを行っているかをご覧ください。

サイバーセキュリティ攻撃の増加と高度化は、世界中のあらゆる分野や産業に変化をもたらしている。誰もが「左にシフト」し、あらゆるプロセスや手順を可能な限り早期に保護しようとしている。 この状況は、DevSecOpsのようにセキュリティを新たなソフトウェアやアプリケーション開発の核心に組み込むなど、サイバー防御を強化するための全く新しい動きさえも促進している。

これらの変化の多くは開発者コミュニティ内で実感されています。新たなソフトウェアやアプリケーションを創造し、記述し、コーディングするのは彼らですから、より安全なコーディング手法の採用を求めるのは理にかなっています。結局のところ、新しいアプリケーションが最初に作成される時点以上に「左へ移動」することはできないのです。

では、開発者コミュニティはこの責任をどう考えているのか？かつてはコーディングの速さだけで評価されていた開発者たちは、セキュリティの擁護者としての新たな役割を今どう捉えているのか？そして、経営陣が質の高い研修やより良い報酬、この新たな重要な責任を担うにふさわしい評価を提供することで、こうした取り組みを支援していると感じているのだろうか？

2年連続で、エヴァンス・データ社と提携し、安全なコーディングの実践に関するスキル、認識、行動、およびソフトウェア開発ライフサイクル（SDLC）に対する影響と関連性について、世界中の開発者コミュニティを対象に包括的な調査を実施しました。その結果は、多くの点で非常に驚くべきものでした。

開発者による2022年セキュリティ調査の現状

開発者主導のセキュリティ状況Secure Code Warrior の調査は、2021 年 12 月に Evans Data Corp によって実施されました。 ソフトウェアのコーディング、セキュリティ意識、トレーニング、サポート、動機、その他のトピックに関する質問が、アジア太平洋地域、ヨーロッパ、北米で活動する 1,200 人のソフトウェア開発者に尋ねられました。この調査は英語で実施され、正確なグローバルな視点を得るために必要に応じて翻訳されました。 回答者には、新しいアプリケーションを作成する開発者や、開発者コミュニティの責任者も含まれていました。

いくつかの驚くべき発見

詳細なホワイトペーパー（ソフトウェアセキュリティ向上の課題（と機会））とレポート（開発者主導のセキュリティの現状、2022年）が、調査のあらゆる側面を網羅し、4月11日（月）に公開されます。 本ホワイトペーパーには、安全なコーディング実践に関する調査結果とコミュニティから提起された懸念事項の分析に加え、開発者チームがソフトウェアセキュリティを向上させるための手段を提供する組織向け推奨事項が含まれます。

これらの課題のいくつかは、組織内で開発者と協働するすべての人々、そして開発コミュニティの一員である人々自身にとっても疑問を投げかける可能性があります。少なくとも私たちにとっては確かにそうでした。

例えば、回答者のわずか14％が、アプリケーションのセキュリティが今日の最優先事項であると回答した。代わりに、アプリケーションのパフォーマンスや機能・特徴の優先順位付けといったより伝統的な指標が、依然として彼らの関心の中核を占めている。

セキュリティはそれほど優先度が低かったため、調査対象の開発者の67％が、既知の脆弱性やエクスプロイトをコード内に意図的に残していると認めた。その理由は、厳しい納期により機能性をセキュリティよりも優先したため、あるいはセキュリティ問題の解決方法に関する必要な訓練や知識を単に持っていなかったためである。

多くの場合、開発者は自組織が安全なコードの定義を定めておらず、この状況を変えるための適切なトレーニングや支援を提供していないと述べている。

しかしながら、いくつかの否定的な結果にもかかわらず、態度が変化しつつあることも明らかであった。 開発者の大多数（66%）は、今後12～18か月でセキュリティが累積的な優先事項になると予想しており、調査に回答した採用担当者の82%は、セキュリティ知識のない開発者よりも、セキュリティに精通した開発者を採用したい意向を示した。

調査結果から明らかになったのは、開発者コミュニティと彼らが関わる組織が大きな変化に直面している一方で、短期的・長期的な将来計画も急速に具体化しつつあるという点である。

ホワイトペーパーと調査結果の詳細レポートにご注目ください。これには、現在のセキュアコーディング実践に関連する課題に関する専門家の見解、および企業が開発者のセキュリティスキルを向上させ、最終的にはソフトウェアのセキュリティを高めるために活用できる機会についての分析が含まれます。

Secure Code Warrior を参照してください Secure Code Warrior ブログページをご覧ください。サイバーセキュリティや、ますます危険化する脅威の動向について詳しく知り、革新的な技術やトレーニングを活用して組織と顧客をより効果的に保護する方法をご確認ください。

‍

ここ数年、市場投入の迅速化を優先するあまり、ネットワークの安全性、テラバイト規模の機密顧客データ、そして計り知れないブランドの評判など、多くの側面が犠牲にされてきた。 新機能や新機能のリリースを加速するという強いプレッシャーにより、迅速な開発に重点を置き、それが引き起こす可能性のある脆弱性や莫大なリスクをほとんど意識しない、複雑で分散したチームが形成されました。 これまで以上に、新しい働き方が求められています。そこで 2020 年、Secure Code Warrior エヴァンス・データ社とSecure Code Warrior 、開発者とその責任者による、セキュアなコーディング、セキュアなコードの実践、セキュリティ運用に対する意識に関する一次調査* を実施しました（ホワイトペーパーのコピーをダウンロードしてください）。 こちら）。

プロジェクト成功のためのパフォーマンス指標：安全性の位置付けは？

開発者と管理者は、安全なコードを確保することが重要だと考えているが、他の要素ほど重要ではないと考えている。開発者と管理者に、ソフトウェア開発プロセスにおける最も重要な優先事項は何かと尋ねたところ：

• ノミネートされたアプリケーションのパフォーマンスの76％
• 62％が特性と機能を選択しました
• そして、選択されたセキュアなコードが50％強
  

他のプロジェクト成功に関連するパフォーマンス指標と比較すると、セキュアコーディングは現在、はるかに低い第3位に位置している。

現時点では、おそらく驚くことではないが、開発者はプロジェクトの成功を、プロジェクト完了後にのみコードを評価するパフォーマンス指標に基づいて判断している。

しかし、将来的に状況がどう変化するか尋ねると、状況は変わる。企業がセキュリティを成功の指標として捉える方法は変化しつつある。セキュアコーディングはますます重要な優先事項となりつつある。

将来のプロジェクト成功を測る最も重要な優先事項について尋ねたところ、回答者の79％がセキュアコーディングの重要性が増すと同意した。注目すべきは、将来のセキュリティ重要性の増加を他のどのパフォーマンス指標よりも高く評価する割合が最も大きい点である。 セキュアコーディングは認知度が高まる一方で、「左側」への移行も進んでいる。その本質上、セキュアコーディングの実践はSDLCのより早い段階でのセキュリティ考慮を意味する。つまり、セキュリティを後回しにするのではなく、ソフトウェアが記述される段階から最初から積極的に組み込む必要がある。

CIOが組織の俊敏性向上に取り組む中、セキュアなコーディング能力は革新の重要な武器となる。CIOとCISOは、開発チームがリスクの最前線なのか、それとも防御の最前線なのかを慎重に検討すべきである。

これらの情報は、組織が開発者を育成する方法に重大な影響を与えます。チームは新たに発見された脆弱性について学び、自らが使用する言語やフレームワークで習得する必要があります。要するに、日常的に作業する環境において、コード内の既知の脆弱性を特定し、識別し、修正する方法を理解しなければならないのです。

セキュアコーディングの変革推進者として、Secure Code Warrior 人間中心のアプローチSecure Code Warrior 、開発者が積極的にセキュアコーディングのスキルを学び、向上させるよう促します。チームの「左から始める」能力や、セキュリティを損なうことなくより迅速にセキュアなコードをリリースする能力に与える潜在的な影響を確認したい場合は、 今すぐデモを予約してください。

‍

*反応から予防へ：アプリケーションセキュリティの新たな側面。 Secure Code Warrior Evans Data Corp. 2020