セキュリティコーディングに関して、開発チームが徹夜する理由は何でしょうか？

安全でないコードは企業に数百万ドルの損失をもたらします。では、セキュリティコーディングの実践を採用する妨げとなるものは何でしょうか？

ほとんどすべてがソフトウェアに依存する世界では、コードの安全性を確認することが 非常に重要です。ブランドの評判と財務上の存続は、この点にかかっています。とはいえ、セキュリティコーディングに関する懸念は多いものの、完全かつ効果的な採用には多くの障壁があります。これまで以上に新しい作業方法が必要です。そこで 2020 年、Secure Code Warrior は Evans Data Corp. と提携し、セキュリティコーディング、セキュリティコードの実践、およびセキュリティ運用に関する開発者と管理者の意識に関する一次調査* を実施しました（ホワイトペーパーのダウンロード）。 こちら）。

現在の組織では、セキュリティコードプラクティスを実装することが難しいことを認識しています。開発者と管理者の双方が脆弱性に対処し、特に懸念されるコードに対して責任を負う必要があります。

より優れた教育とセキュリティコードプラクティスを支援するプログラムが明らかに必要です。開発者と管理者にセキュリティコーディングに関する懸念を尋ねると、この必要性が明らかになります。当社の調査*によれば、この2つのグループは同じ基本的な関心事を共有していることが示されました。しかし役割が異なるため、どちらが最も差し迫った問題であるかについては見解の相違があります。

開発者にとって最大の関心事は「過去の脆弱性を再現するコードの混入」です。開発者はコードの品質で評価されるため、これは驚くべきことではありません。いかなる開発者も、安全でないコード、つまり再作業が必要でチームの作業速度を低下させるコードの根源となることを望みません。

開発者が二番目に重要視するのは、同僚が犯したミスに対処することです。納期を守ることやコードに対する責任を負うことも同様に上位に位置付けられています。セキュリティコードを学ぶことが難しいという事実も、セキュリティコード教育に対する新たなアプローチが必要であることを改めて示しています。

一方、管理者はよりトップダウンの視点を取る傾向があります。

チーム管理者でありリーダーとして、彼らが最も重要視しているのはコードに対する責任です。チームで質の低いコードが作られると、問題はマネージャーに押し付けられます。

既存の脆弱性を複製するコードが二つ目です。学習プロセスが煩雑であるという事実が三つ目に挙げられます。現行のセキュリティコード教育アプローチが適切に機能しない場合、管理者は新たなアプローチが必要だと認識します。

セキュリティコーディング慣行の採用における障壁

管理者に組織内でセキュアコーディングの実践が採用される際の障壁について尋ねたところ、特に目立つ二つの課題が浮かび上がりました。それはコミュニケーションと教育です。

45%は利害関係者とのコミュニケーション不足を深刻な障害と指摘しました。42%は新入社員のセキュアコーディング技術不足を嘆いています。同時に40%は 教育時間とリソースが不足していると回答しました。

組織全体でセキュリティコード慣行を成功裏に導入するには、プロセスおよび人事関連の障壁が存在します。

しかし、こうした扱いにくい問題にもかかわらず、依然として進展は可能です。新入社員のセキュリティコーディング技術の不足と不適切な教育・リソースは、解決がより容易です。

開発者は脆弱性を防ぐために最前線で戦っています。しかし、セキュリティ契約において各自の役割を果たすための支援、ツール、教育は受けているのでしょうか？

彼らの懸念によれば、簡潔な答えは「いいえ」です。

実際、正しい教育は講義のように感じられるべきではありません。

セキュリティコーディングの変革を主導するSecure Code Warriorは、開発者がセキュリティコーディング技術を学び習得できるよう、積極的に参加させる人間主導型のアプローチを採用しています。当社の実績ある学習プラットフォームは、開発およびセキュリティチームが好むワークフロー内で、状況に応じた極めて関連性の高い学習を提供します。脆弱性を見つけるだけでなく、そもそも脆弱性が発生しないように防止できます。

この種の実務教育は技術を向上させる機会です。つまり、脆弱性を防ぎ、他のチームメンバーと協力してより高水準のコードを作成するために真剣な努力を払う開発者にのみ、肯定的な影響を与えることができます。

セキュリティを侵害することなく、セキュリティコードを「ゼロから構築」し、より迅速にリリースできるチームの能力に及ぼす潜在的な影響について詳しく知りたい場合は 今すぐデモを予約してください.

*対応から予防への転換：アプリケーションセキュリティの変容する姿。セキュアコード・ウォリアー＆エバンズ・データ・コーポレーション 2020