セキュリティコードがソフトウェア開発の新たな成功指標である理由

ここ数年、ネットワークセキュリティ、テラバイト規模の機密顧客データ、計り知れないブランド評判など、多くのものが市場投入のスピードという名目の犠牲になってきました。新機能の リリースを加速しなければならないというプレッシャーが強まる中、チームは複雑で分散化しているため、脆弱性や多大なリスクについてほとんど認識しないまま、迅速な開発に集中することになりました。 これまで以上に新しい働き方が求められています。そこで 2020 年、Secure Code Warrior は Evans Data Corp. と提携し、セキュリティコーディング、セキュリティコードの実践、およびセキュリティ運用に関する開発者と管理者の意識に関する基礎調査*を実施しました（ホワイトペーパーのコピーをダウンロード）。 こちら）。

プロジェクト成功のための成果指標 — セキュリティはどこに適合するのでしょうか？

開発者と管理者はセキュリティコードが重要だと考えているが、他の要素ほど重要ではない。ソフトウェア開発プロセスの最重要優先事項について開発者と管理者に尋ねたところ：

• 76% 指定アプリケーション性能
• 62%が選択した特徴および機能
• そして50％を少し超えるセキュリティコードを選択しました。
  

セキュリティコーディングは、プロジェクト成功に関する他の成果指標と比較すると、現在わずか3分の1に過ぎません。

現在、開発者がプロジェクト完了後にのみコードを評価する成果指標でプロジェクトの成否を判断することは驚くべきことではありません。

しかし、将来これがどのように変化しうるかという質問を受けたとき、状況は完全に逆転します。組織がセキュリティを成功の指標として捉える方法が変化しつつあります。セキュリティコーディングがますます重要になっています。

今後のプロジェクト成功を測るための最重要優先事項を問う質問に対し、回答者の79%がセキュリティコーディングの重要性が増すと同意しました。驚くべき事実は、将来のセキュリティの重要性が他の成果指標よりも大きくなると答えた割合がさらに多かったことです。左傾化の流れと同様に、セキュリティコーディングへの認識も高まっています。セキュリティコーディングはその特性上、SDLCにおいてセキュリティをはるかに早い段階で考慮することを意味します。つまり、ソフトウェアを最初から後回しにせず、書かれた通りに積極的にセキュリティを組み込むことを意味します。

CIOが組織の俊敏性を高めるために努力するにつれ、セキュアコーディング機能は重要な革新の武器となるでしょう。CIOとCISOは、開発チームが最初の危険地帯なのか、それとも最前線の防衛ラインなのかを慎重に考える必要があります。

これらのインサイトは、組織が開発者を教育する方法に重要な影響を与えます。チームは最近発見された脆弱性について学び、各自の言語/フレームワークで学習する必要があります。簡単に言えば、日常的に使用する状況において、コードの既知の脆弱性を見つけ、特定し、修正する方法を理解しなければならないのです。

Secure Code Warriorは、セキュリティコーディングの変革を主導し、開発者がセキュリティコーディング技術を学び習得できるよう積極的に関与させる人間主導型のアプローチを採用しています。セキュリティを損なうことなく、最初からやり直してより迅速にセキュアなコードをリリースするチームの能力にどのような影響を与えるか知りたい場合は 今すぐデモを予約してください。

‍

*対応から予防への転換：アプリケーションセキュリティの変容する姿。セキュアコード・ウォリアー＆エバンズ・データ・コーポレーション 2020