ゴールド・フォー・ゴール：Paysafeのセキュアコード基準の急上昇

Paysafeは、金融取引を信頼に根ざした体験に変える手助けをしており、年間1,520億ドルを超える取引量を処理する安全でシームレスなプラットフォームを提供するには、基本的なコンプライアンス基準を満たすだけでは不十分であることを認識しています。過去4年間、PaysafeはSecure Code Warriorとのパートナーシップを通じて、開発者のリスク管理に対する包括的なアプローチを推進し続けています。同社のアプリケーションセキュリティプログラムは、次のようなビジネスニーズ全体にプラスの影響を与えていることが実証されています。

課題:Paysafe全体のセキュアコード基準の向上

Paysafeは多国籍オンライン決済プロバイダーとして、セキュアコーディングを単なるPCI DSSコンプライアンス要件の達成にとどまらない戦略的優先事項として常に位置づけてきました。専門家による正式な教室型トレーニングセッションとスキル評価は初期の取り組みの一部でしたが、Paysafeの目標は常に、セキュアコーディングイニシアチブの範囲と規模を継続的に拡大し、アプリケーションセキュリティに対するクラス最高のアプローチを確保し、エンジニアが最初からセキュアなコードを作成できるようにすることでした。

「私たちにとって、トレーニングを提供してきたのは、単にチェックを入れるだけのことではありませんでした。私たちの目標は、進行中の開発状況を常にスタッフに知らせることです。私たちは常により良くなり、より多くのことを行うよう努めています。エンジニアリングチームとセキュリティチームに協力してもらいたいと考えています。自分で開発できるチームは、より多くの情報を得て、より優れたコードを設計できます」と、Paysafeの人材開発パートナーであるBoyan Hristov氏は言います。

Paysafeのビジョンは、セキュリティを左にシフトし、ソフトウェア開発ライフサイクルのあらゆる段階に安全なコーディングプラクティスを組み込むセキュリティ意識の高いエンジニアを育成することでした。これをサポートするには、PCIコンプライアンスのための監査証拠を提供するだけでなく、スケーラブルで魅力的かつ継続的なプログラムが必要でした。これには、開発者を惹きつけ、業界のセキュリティトレンドの最前線に留まるよう促すための、ゲーミフィケーションを活用した学習体験、定期的なトーナメント、常時実施のトレーニングなどが含まれていました。

解決策:安全なコードウォリアーによる最先端のアプローチ

PaysafeはSecure Code Warriorの開発者向けリスク管理プラットフォームを採用し、安全なコーディングプラクティスの拡大、エンジニアの関与、開発ライフサイクルの早い段階でのセキュリティ組み込みを支援しました。同社のセキュリティチャンピオンプログラムは時間とともに拡大し、Secure Code Warriorはサイバーリスク防止の目標達成において重要な役割を果たしてきました。

Paysafeは、開発者がプラットフォームと有機的に関わり合うことを可能にし、魅力的な賞品付きのトーナメントなどのゲーミフィケーション活動を通じて、開発者の参加と関心を促進しました。このプログラムが開始された当初、PCIコンプライアンス要件を満たすためにいくつかの評価が義務付けられており、オプションとして他のコンテンツや活動も提供されていました。

プログラムが勢いを増すにつれ、経営陣はさらなる支援を提供し、開発チームと情報セキュリティチームの目標をより一層一致させました。これにより、Paysafeチームはプログラムを次のレベルに引き上げ、指定されたKPIと成功インセンティブを備えたより正式な認定プログラムを導入することができました。

プログラムの次のフェーズでは、業界標準のOWASPトップ10のトピックに焦点を当て、開発者が様々なレベルの成果を上げることができる認定ステージを設けました。現在、このプログラムは新たな規模と成熟度に達し、正社員から派遣労働者まで、開発者のベースライン基準が全面的に引き上げられました。

「私たちは、過去4年間にSCWと築いてきたパートナーシップを非常に高く評価しています」と、Paysafeの最高情報セキュリティ責任者であるAlan Osborneは語っています。「これは、SDLCにおいて初めてセキュアコードを開発し、可能な限り早い段階でセキュアコードを開発するという共通のコミットメントに支えられ、対象を絞ったアプリケーションセキュリティトレーニングを提供し、セキュリティチームとエンジニアリングチーム間のより強固な関係を築くことができました。」

エンジニアリング分野のCISO、CTO、エグゼクティブリーダーの継続的なサポートと連携により、PaysafeはSecure Code Warriorと提携してプログラムを継続的に進化させてきました。現在、このプログラムはビジネスニーズと密接に連携し、目に見える成果をもたらし、社内チームにとって関連性が高く魅力的なものであり続けています。

結果: 組織全体で安全なコードを実現するための新たな基準

Paysafeのアプリケーションセキュリティへの取り組みは、4年前に開始されて以来、改善を続けています。Paysafeは、Secure Code Warriorとのパートナーシップを通じて、開発者リスク管理への包括的なアプローチが組織全体に多大な影響を与える可能性を実証しました。

PaysafeがSASTスキャンデータを分析したところ、Secure Code Warriorでトレーニングを受けたチームが開発したアプリケーションでは、開発の初期段階のスキャンで検出された脆弱性が著しく減少したことが示されました。最初のスキャンで見つかった脆弱性の数は、開発者がSCWプラットフォームに積極的に関与していたチームではさらに減少しました。

Secure Code Warriorの活動と関与レベルが最も高いチームでは、開発初期段階で発見された脆弱性が前年比で大幅に減少しました。これは、安全なコーディング習慣を強化するための継続的なスキルベースのトレーニングの付加価値を浮き彫りにしました。最初から安全なコードを作成したことで、彼らのチームや SDLC に所属する他のチームは、時間を大幅に節約できました。開発の初期段階で脆弱性を防ぐことで、コードの脆弱性を特定、記録、修正する必要がなくなり、何千もの開発時間が節約されました。その結果、開発者の生産性が 45% 向上し、安全なコードのスキルアップと日々の開発プロセスの改善のメリットを実証できました。エンジニアリングチームとアプリケーションセキュリティチームの両方にとってメリットがあります。

Paysafeのセキュアコードへの献身的な取り組みにより、Paysafeは目立つ存在となり、^{SCWトラストスコア®において銀行および金融サービスのベンチマーク内で4位にランクインしました} 。これは彼らが誇りに思う成果ですが、Paysafeのセキュアコード・イニシアチブへの取り組みはそれだけにとどまりません。Paysafeは、Secure Code Warriorとのパートナーシップを通じて得られた成果に勇気づけられ、プログラムのさらなる向上を目指しています。

ペイセーフの最高情報セキュリティ責任者であるアラン・オズボーンは、「Secure Code Warriorのおかげで、開発者の生産性を高め、製品や改善を市場に投入する能力を加速し、時間の経過とともにコストとリスクを大幅に削減することができました」と述べています。強化された開発者トレーニングによって推進されるセキュアコーディングは、単なる「あれば良い」ものではなく、開発者のスキル、経験、能力を強化しながら真のROIを実現する実証済みの投資であることを実証しました。

次に、Paysafeは、追加のガバナンスとリスク管理対策をプロセスに組み込むことで、セキュリティ基準をさらに運用することを目指しています。SCW Trust Agentは、Secure Code Warriorとの長年のパートナーシップを深め、サイバーセキュリティの卓越性への取り組みを示しています。