セキュアコードは開発チームの優先事項リストのどこに位置づけられていますか？

サイバーセキュリティ攻撃の増加とその巧妙化は、世界中のあらゆるセクターと業界に変化をもたらしています。誰もが「左にシフト」し、できるだけ早くすべてのプロセスと手順にセキュリティを組み込もうとしています。この状況は、サイバー防御の強化を目的としたまったく新しい動きをも助長しています。DevSecOpsなど、新しいソフトウェアやアプリケーションの作成という構造そのものにセキュリティが組み込まれています。

こうした変化の多くは、開発者コミュニティの足元に降りかかっています。新しいソフトウェアやアプリケーションの作成、構築、コーディングを行うのは彼らですから、より安全なコーディング方法を採用するよう彼らに求めるのは素晴らしいアイデアのように思えます。結局のところ、新しいアプリケーションが最初に作成された時以外には、左にシフトすることはできません。

しかし、開発者コミュニティはその責任についてどう感じているのでしょうか。従来、開発者はコーディングの速さだけで評価されてきましたが、セキュリティチャンピオンとしての新しい役割について、開発者は現在どう考えているのでしょうか。そして、自社の経営陣は、質の高いトレーニング、充実した報酬、そしてこの重要な新しい責任を引き受けたことに対してふさわしい評価を得て、こうした取り組みを支援していると感じているのでしょうか？

2年目となる今回は、Evans Data Corp. と提携し、セキュアコーディング手法に関するスキル、認識、行動、およびそれらがソフトウェア開発ライフサイクル（SDLC）に与える影響と関連性について、世界の開発者コミュニティを対象に包括的な調査を実施しました。その結果は、多くの点で非常に驚くべきものでした。

2022年の開発者主導型セキュリティ調査の現状

「セキュア・コード・ウォリアーの開発者主導型セキュリティの現状調査」は、2021年12月にエヴァンス・データ社によって実施されました。アジア太平洋地域、ヨーロッパ、北米で働く 1,200 人の現役ソフトウェア開発者を対象に、ソフトウェアコーディング、セキュリティ意識、トレーニング、サポート、モチベーション、その他の問題に関する質問が行われました。調査は英語で実施され、正確なグローバルな視点を得るために必要に応じて翻訳されました。調査の回答者には、新しいアプリケーションを作成している開発者だけでなく、開発コミュニティ内のマネージャーも含まれていました。

いくつかの驚くべき発見

ソフトウェアセキュリティ向上のための課題（および機会）に関する詳細なホワイトペーパーと、「開発者主導型セキュリティの現状」（2022年）レポートは、4月11日（月）に発表予定です。このホワイトペーパーには、安全なコーディング手法に関するコミュニティからの調査結果と懸念事項の分析、および開発チームがソフトウェアセキュリティを向上させるための組織への推奨事項が記載されています。

これらの課題の中には、自組織で開発者と関わっている人だけでなく、開発コミュニティにいる人にも疑問を投げかけるものがあります。確かに私たちのためにもありました。

たとえば、アプリケーションセキュリティを今日の最優先事項として挙げている回答者はわずか14％でした。代わりに、アプリケーションパフォーマンスや機能の優先順位付けなど、より伝統的な指標が引き続き全体的な焦点となっています。

セキュリティの優先度は非常に低かったため、調査対象の開発者の67%が、既知の脆弱性やエクスプロイトをコードに日常的に残していると回答しました。その理由は、締め切りが厳しい、セキュリティよりも機能を優先している、あるいは単にセキュリティ問題を解決する方法について必要なトレーニングや知識を持っていなかったからです。

多くの場合、開発者は、自社の組織がセキュアコードの構成要素を定義しておらず、状況を変えるための適切なトレーニングやサポートを提供していないと述べています。

しかし、いくつかの否定的な調査結果にもかかわらず、態度が変化していることも明らかでした。開発者の大多数（66%）は、今後12～18か月でセキュリティがより優先されるようになると予想していました。一方、調査に回答した採用マネージャーの82%は、セキュリティについて知らない開発者よりもセキュリティを知っている開発者を採用することに関心を示しました。

調査結果から、開発者コミュニティと彼らが協力する組織が大きな変化に直面していることは明らかですが、ありがたいことに、短期的および長期的な将来の計画も急速に形になりつつあります。

安全なコーディング手法に関する課題や、組織が開発者のセキュリティスキル、そして最終的にはソフトウェアセキュリティを向上させるために利用できる機会について、調査結果の詳細を詳述したホワイトペーパーとレポートにご期待ください。

チェックしてください セキュア・コード・ウォリアー ブログページでは、サイバーセキュリティ、つまりますます危険になる脅威環境についての洞察を深め、革新的なテクノロジーとトレーニングを採用して組織と顧客をよりよく保護する方法について学ぶことができます。

‍