DevSecOpsの時代、継続的デリバリーの時代、そして、これまで以上に多くのデータが必要とされる時代において、抜け目のない組織は、あなたのような開発者が、一般的な脆弱性が本番環境に入る前に排除されるよう支援する、セキュリティ意識の高いスーパースターにスキルアップすることを支援している。あなたが、目障りで目立つようなバグのない高品質のコードを作成するようになれば、エンドユーザにとって安全であるだけでなく、あなたにとっても手戻りが少なくなり、混乱が少なくなります。以下の章では、アプリケーション・プログラミング・インターフェース（API）に関連する、最悪のセキュリティ・バグに焦点を当てます。これらは、新しい2023 Open Web Application Security Project (OWASP)のAPI脆弱性のトップリストに入るほど、広く存在しています。APIが現代のコンピューティング・インフラにとっていかに重要であるかを考えると、これらは、何としてもアプリケーションやプログラムから排除しなければならない重大な問題です。

このまったく新しいeBookで、さらに詳しく：

• API脆弱性トップ10の仕組みと、攻撃者がそれを悪用する方法
• どのように見えるか、そして良いコーディングパターンを使ってどのように修正できるか（実際の実践的な課題へのリンク付き！）。
• 日々の仕事の中で、技術革新のスピードに合わせてセキュリティをどのようにナビゲートするか。

‍

通常、セキュリティチャンピオンに発展する可能性のある開発者を特定することによって、組織としてリスクプロファイルを有機的に低減することを目標にセキュリティに取り組むことが多い。しかし、セキュリティチャンピオンを特定し、育成する上での課題は、長期にわたって拡張可能なプログラムを構築し、開発者に組織の全体的なセキュリティ態勢の強化を支援する力を与えることである。

このレポートでは、Devlympics 2022 の結果の概要と、参加した数百の課題によって強調された強みと機会について深く掘り下げています。さらに、組織のスキルセットをベンチマークし、開発者主導のセキュリティへのシフトを促す方法を見つける方法を学びます。

背景

タレス・グループはフランスの多国籍企業で、航空宇宙、防衛、運輸、セキュリティ分野向けの電気システム、装置、機器の設計、開発、製造を行っている。ヴィスワナス・S・チラヴリは、タレスのソフトウェア・セキュリティ・テクニカル・ディレクターである。ヴィスワナス（ヴィス）は、当初プログラマーとしてセキュリティのキャリアをスタートさせた。現在はタレスのシニア・セキュリティ・リーダーとして、セキュリティ業界で18年以上の経験を持ち、CISSP、PMP、GSEなど30以上の資格を保有しています。また、18カ国以上で3,000人以上のソフトウェア専門家を教育してきました。さらに、ヴィスは国際的なサイバーセキュリティtournaments （Netwarsなど）で10回以上のSANSチャレンジコインを獲得し、GIAC諮問委員会のメンバーとしても活躍しています。タレス社でセキュアなコード学習プログラムを成功させるために、人材、プロセス、テクノロジーをどのように調整したのか、ヴィス氏に話を聞いた。

状況

ヴィスがタレスに入社したとき、彼は、技術的負債のバックログを減らす可能性のあるソリューションとして、ペンテストによって発見された脆弱性のソースに注目するようビジネスユニットを指導した。アプリケーション・セキュリティ・チームは、IAST/DASTツールからペン・テスト・ツールまで、セキュリティ態勢を固めるために7つの異なるベンダーを使用していました。Vis 社は、市場の動向を理解し、拡張性のある方法で脅威を管理し、プロセスとテクノロジーを強力に統合して緩和戦略を策定したいと考えていました。これは、純粋にツールベースのアプローチから、強力な学習要素を持つ戦略への移行を意味した。彼は、開発者の多くがセキュリティの素養やスキルを持っていないことに気づいた。彼の最初のアプローチは、OWASP Top 10 のようなトピックに関する教室ベースのトレーニングを開発者に提供することでしたが、彼はすぐに、直接教えるために必要なすべての出張と、世界中にいる何千人もの開発者に到達する必要性から、これでは規模が拡大しないことに気づきました。ヴィスは次のように述べた：

「セキュリティと開発の比率には常に不均衡があります。仮にセキュリティと開発者の比率を1：1にしたとしても、彼らを常に従事させ続けることはできません。新しい攻撃ベクトル、ベストプラクティス、新しい言語、新しく発見された脆弱性などについて、開発者を常に最新の状態に保つには、開発者の自己学習を促進し、自分のペースで進められるようにする必要がありました。彼らが助けを必要とするなら、私は彼らを助けることができますが、彼らが見つけた脆弱性の修正方法をすべて教える人間にはなれないと気づきました。"

当初は、開発マネージャから、多くの開発者が一からセキュアコードの学習に取り組 むことに時間を割かなければならないという反発があった。Visは、セキュアなコード学習に取り組むことで、ソフトウエアのリリースサイクルが乱れたり、ミッションクリティカルなスプリントが遅くなったりするかもしれないという認識を管理する必要があった。彼は、セキュアコードのためのアジャイル学習に時間を費やすよう、組織のモチベーションを適切に高める方法を見つける必要があった。ヴィスは、脆弱性を根源から解決するために、人を第一に考える姿勢をとった、 「セキュリティは開発から時間を奪っているとよく言われます。私としては、何かを開発してそれが安全でないなら、そもそも時間の無駄だと思います。常に安全なソフトウェアを開発し、簡単に回避できたはずの脆弱性を修正する手間を省くべきです。私たちは皆、信頼できるコードを出荷するという共通の目標を持つべきです」。

アクション

Visは、ソフトウェアのセキュリティ確保と、タレスの開発者チームのセキュリティ意識の向上という2つの主要目標を念頭に置いていました。開発者が自立し、自分のペースでトレーニングできるプログラムを導入することが重要だった。Vis 社の戦略は、時間をかけてセキュリティコミュニティを構築し、セキュアコーディングを企業方針と結びつけ、組織内でセキュアコードの学習を義務付けることであった。開発者、テスター、アーキテクト、エンジニアをつなぐコミュニティ文化を奨励することで、彼はモチベーションの相乗効果を見た。本業の一環としてセキュリ ティに情熱を燃やすセキュリティチャンピオンが出現し、セキュアコーディングの実践に対する認識が組織全体に広まった。ヴィスは10社以上のセキュリティトレーニングベンダーを評価し、2019年にSCWの顧客となった。タレスにとって、断片的なソリューションではなく、自社の環境にあるすべてのプログラミング言語とフレームワークをカバーするベンダーを持つことは大きなメリットだった。Visは、Secure Code Warriorの膨大なコンテンツを活用し、セキュリティ・プログラムの開発者がアクセスできるトレーニングや自習用ラーニングを構築した：

「OWASPのトップ10は、単に知っておくべき10のことだけを集めたものではありません。OWASPがカバーする脆弱性の深さと多様性は、プログラミング言語の数の多さと相まって、圧倒されることがあります。このようなものに関する幅広い課題とカバー範囲が、SCWを選んだ重要な要因でした。SCWは常に新しいものを追加しています。トピックの深さ、多様性、最新のコンテンツ、そしてセキュアなコード設計の原則に重点を置いていることが、SCWを際立たせています。SCWのトレーニングは1回限りのものではなく、継続的なプログラムを構築する機会を与えてくれました。

ヴィスと彼のチームは、セキュアコード学習プログラムの展開を4つのレベルに分け、エンジニアリングの役割ごとに異なるマイルストーンを設定した：

重要なのは、SCWが脆弱性修正の真実の情報源となったことだ。Visは、トラブルシューティングを導くかもしれないGoogle検索に頼る代わりに、開発者がコード内の脆弱性修正について信頼できる本物のソースを参照できるように、AppSecチームからのガイドラインとSCWのコンテンツライブラリからのガイドラインの両方を公開した。ヴィスによれば

「開発者が脆弱性の修正方法を自由に決められるべきではありませんし、その過程で新たな脆弱性が生じる可能性もあります。開発者が正しい方法で脆弱性を修正する方法を学べるように、SCWのSCORM統合により、SCWのビデオをLMSに統合しました。これにより、安全なソフトウェアを提供する開発者が認識されていることを確認する方法も得られました。私たちは開発者に一定レベルのセキュアコーディングを達成するよう求めており、開発者が解決した脆弱性と再導入していない脆弱性によって、そのレベルを追跡することができます。そうすることで、彼らの努力は社内で認められ、評価されるのです。"

結果

Visと彼のチームは毎月セキュアコードニュースレターを発行し、社内のトップ学習者を表彰している。彼らは SCW を使って、assessment のスコア、tournament の参加状況、そしてその達成度を高めるために行ったチャレンジに注目しています。これにより、他の開発者も学習意欲を高めている。彼が最初に設定した KPI は、2 年間で全体の脆弱性の数を減らすことに重点を置いていた。SCWを導入した後、彼は減少傾向にあることを指摘した。これらの脆弱性はソースコードレベルで再導入されることはありません。ヴィスはこう言う：

「私たちが経営陣に提示するKPIは、私たちが十分な情報に基づいて行った選択を反映したものです。私たちは、顧客にビジネスの信頼を提供するセキュアコード・トレーニングがあることを誇りに思っています。包括的なセキュア・コード・トレーニング・プログラムが評価され、顧客や同業者から尊敬されています。このようなプログラムがあれば、会社に大きな付加価値が生まれます」。

要点

Vis 社は、セキュリティの取り組みには、人、プロセス、技術のすべてに役割があることを認識した。ソフトウエアのセキュリティ、開発者の知識、コンプライアンス遵守に焦点を当てることで、ソースコードの脆弱性を長期にわたって低減するセキュアコードプログラムのためのアジャイル学習をまとめることができる。ヴィスは、開発者チームにセキュリティ・スキルを身につけさせたいと考えている同分野の専門家に対して、次のような提言を行っている。

アジャイルなセキュアコーディングの学習計画を定義することは、特にコンプライアンス要件やリリースの期限がある場合には、簡単な仕事ではない。しかし、生産性の向上やリスクの低減といったメリットをもたらす、価値のある取り組みである。 

開発チームのセキュリティ成熟度は、ソフトウェア開発ライフサイクルの全段階を通じてセキュリティを左遷・定着させ、セキュリティに精通した開発者が脆弱性の特定と修正の第一線に立てるようにするための総合的な能力に基づいて評価される。 

このガイドでは、Secure Code Warrior の 3 人の実際の顧客から学んだ教訓を探る。彼らの経験から学ぶことで、あなたの組織のためのアジャイルでセキュアなコード学習の青写真を組み立て始めることができる。

発見しよう：

• 開発者のセキュリティ成熟度が異なる段階で、組織はどのような課題に直面したか？
• その過程で学んだ重要な教訓とは？
• セキュリティ成熟の旅の各段階で、どのような成果が期待できるのか。

背景

エンベストネットは、5兆3,000億ドルの資産と1,850万以上の投資家口座を有する上場フィンテック企業です。エンベストネットの使命は、革新的なテクノロジー、ソリューション、インテリジェンスによって、アドバイザーや金融サービス・プロバイダーに力を与え、すべての人にファイナンシャル・ウェルネスを実現することです。エンベストネットは、世界中の資産運用におけるファイナンシャル・アドバイザーが使用するサービスとソフトウェアを統合したフラッグシップ・アドバイザリー・プラットフォームにより、資産運用テクノロジーのマーケット・リーダーとしての地位を確立しています。

エンベストネットのデータ管理のベストプラクティスへのコミットメントには、継続的なリスクベースのコンプライアンス対策によるウェルス・マネジメント・プラットフォームの継続的なモニタリングが含まれ、コンプライアンス上の問題や潜在的な障害を迅速に特定し、是正することができます。エンベストネットは、サービスの提供において世界最高水準のセキュリティ対策を採用することで、顧客のデータ保護をリードしています。

Envestnetのプロダクト・セキュリティ責任者であり、「アプリケーション・セキュリティ・ハンドブック」の著者でもあるデレク・フィッシャーが、Secure Code Warrior 、開発者チームのためにアジャイルでセキュアなコードを実現し、脆弱性を減らすための総合的なアプローチを開発した方法を紹介する。デレクは10年以上アプリケーション・セキュリティに携わり、数々のセキュリティの成功と失敗を目の当たりにしてきました。エンベストネットでは、開発者のためのセキュアなコード学習環境の開発において、その卓越した専門知識を発揮しています。

状況

Derek が最初にアプリケーションセキュリティの職に就いたとき、彼は OWASP のトップ 10 や基本的なコンプライアンストレーニングを超えることを望んでいました。彼らにはセキュア SDLC プロセスがいくつかあったが、それらは主に脆弱性を見つけることに重点を置いており、必ずしもソースで対処していたわけではなかった。

デレクによれば、「私たちは皆、どんな組織でも毎年受けるコンプライアンス研修に精通している。それはたいてい、私が "パワーポイントによる死 "と呼んでいるもので、たくさんのスライドを使い、最後にassessment ......実に非効率的で時間のかかるものだ。トレーニングはありましたが、それは通常のコンプライアンスに基づいたもので、セキュリティに特化したトレーニングはスライドやオーディオレコーディングに基づいたものでした。私たちは、開発者がその教材にあまり興味を示さず、学んでいないことに気づいたので、戦略を転換する必要がありました。"

OWASPに焦点を当てた受動的なコンプライアンス・トレーニングで開発者を育成するという従来の戦略は、デレクと彼のチームにとって特に苦痛だった。



デレクは、脆弱性の根源である、開発者が本番環境に出荷している安全でないコードに目を向けることが重要であり、ツールを増やすだけでは解決策にはならないと認識していた。

その代わりに、Derek と彼のチームは 2020 年に、最初からよりセキュアなコードを書くことを目標に、脆弱性の軽減に焦点を移した。Derek と彼のチームは、SDLC のかなり早い段階で脆弱性に対処し、修復するためのコストが大幅に少ないときに修復するために、"左遷 "戦略を採用した。

しかしその前に、既存のApp Sectrainingに対する開発者のエンゲージメントが歴史的に低いことに取り組む必要があった。彼は、セキュアコード学習戦略に単なる「チェックボックス」的な考え方を導入することを避け、Envestnetの開発者により効果的でアジャイルなセキュアコード学習体験を提供したいと考えていた。

「SCWとその機能を見て、より実践的でインタラクティブなアプローチが私たちに合っていると思いました。 エンジニアや開発者に、実際の問題点についてより実践的な知識を持ってトレーニングを受けてほしかった。 私たちは、「以前トレーニングで見たことがある、このコーディングの問題にどうアプローチすればいいかわかる」という筋肉記憶を作りたかったのです。Secure Code Warrior プラットフォームのおかげで、エンジニアや開発者が現場に入り、優れたセキュアコーディングの実践方法、悪いコーディングの実践方法、脆弱性を迅速に解決する方法を本当に理解できる、そのような環境を提供することができました」。

エンベストネットのプロダクト・セキュリティ責任者、デレク・フィッシャー氏

アクション

デレクは特に、セキュアなコードのスキルアップを認定で報いるベルト戦略の導入を強く望んでいた。この 4 段階のプログラムは、セキュリティ意識の強固な基盤を構築すること（レベル 1 と 2）に重点を置き、開発者がセキュリティチャンピオンになるための道を開くものである（レベル 3 と 4）。これにより、開発者がセキュアコードの概念をどの程度保持しているかを測定できないという問題が解決され、同時に、セキュリティ意識の高い開発者が、より複雑なセキュリティ課題に対応できるスキルを向上させるためのキャリアパスが確保された。

彼らは小規模な試験運用でテストし、関係した開発者からフィードバックを募った。フィードバックは非常にポジティブなものだった。とデレクは指摘した、

「トレーニングで肯定的なフィードバックが得られるのは珍しいことだ。これは正しいツールであることを示す良い指標だ。"

Envestnetは、2021年春に最初のtournament 。デレクはその後、DB、フロントエンド、API、クラウドの開発者を対象に、LMSに統合された一連のcourses 。2021年秋にEnvestnetが2回目のtournament を開催する頃には、参加する開発者の総数は倍増していた。

デレクによれば、エンベストネットはtournaments 、大きな支持を得た、

「私たちは皆、競争がモチベーションにつながることを知っている。私たちは皆、仲間に自分がどれだけのことをやっているかを認めてもらいたいと思っていますし、そうすることで、参加し、tournaments 。そのことと、開発ツールとの統合が、Secure Code Warrior の価値を示してくれました。"

デレクとチームはまた、Secure Code Warrior を Jira と統合することで、特定の脆弱性が繰り返し出てきたときに、開発者が Jira チケット内で、使い慣れた環境を離れることなく、即座に修正アドバイスにアクセスできるようにした。これにより、開発者は貴重なコンテキストを得られるだけでなく、その脆弱性に対処する方法に関するオンデマンドの教育を、必要なときに必要な場所で受けることができるようになった。デレクのチームはまた、Secure Code Warrior と協力して、セキュリティ・デーのイベントのスポンサーになりました。このイベントは、より広範なCEOの支援につながり、エンベストネットの成功においてエンジニアリングとセキュリティが果たす役割の重要性を強化しました。このような経営幹部と開発者の賛同を得て、Envestnetはプログラムを現在のように拡大することができました。現在、Envestnetは、特定されたすべてのセキュリティ・チャンピオンをプログラムに登録し、チーム全体の60%がレベル1またはレベル2の認定を完了しています。

結果

Envestnetがその成功を測定する方法の1つは、SCWの学習経験を経たチームを見て、彼らがより少ない脆弱性を生み出しているか、あるいはより速く脆弱性を修正しているかを測定することでした。彼らが発見したことは印象的だった：

• SCW教育を受けた開発者は、同世代の開発者の2.7倍の脆弱性を修正した
• SCWの教育を受けた100人の開発者が、短期間で450の脆弱性を修正した。
• SCWの教育を受けた1,200人の開発者により、Envestnetはそれぞれのキューで120％の修復率向上を達成した。
• 2つの製品ラインにわたる1年間で、SCWの教育を受けた開発者は、開発者1人当たり4.5件の割合で脆弱性の問題を解決した。
• すべてのセキュリティ・チャンピオンは2022年に認定プログラムを受けた。
• セキュリティ・アウェアの開発者の60％以上がレベル1と2を修了


要点

デレクは、セキュアコード学習の旅を始める人たちにこんなアドバイスをしている：

「セキュリティにおける私たちの仕事は、組織のリスクを減らすことです。 それが私たちのTrue Northであり、常に目指していることです。クリティカルな脆弱性は、組織にとって最もリスクが高いものでも、最も影響が大きいものでもないかもしれない。中程度の脆弱性、低レベルの脆弱性、そして高レベルの脆弱性の3つが連鎖して、より大きな影響を与えるかもしれない。時間の経過とともに脆弱性が積み重なれば積み重なるほど、リスクは増大する。Secure Code Warrior を使えば、アジャイルなセキュアコード学習を通じて、潜在的な脆弱性の連鎖を軽減するために、先手を打って予防的なアプローチを取ることができる。"

• 脆弱性のテストと報告だけに集中してはいけない。
• むしろ、AppSecは開発者のパートナーであるべきであり、セキュアなコード学習戦略を実装する前に、開発者の賛同を得るようにすべきである。
• ローマは一日にして成らず。リスク・プロフィールが変わり、会社が変わり、テクノロジーやツールが変われば、プログラムも進化する必要がある。
• 最も効果的な長期的戦略は、周囲の人々のセキュリティIQを高め、脆弱性の発生件数を減らすことである。

TL;TR

コルゲート・パルモリーブについて

コルゲート・パルモリーブ・カンパニーは、世界中の家庭で知られ、愛されている消費財ブランドです。2世紀以上の歴史がありながら、デジタルを活用して人々とペット、そして地球にとってより健康的な未来を再構築する革新的な成長企業です。

状況

コルゲート・パルモライブは、他のほぼすべての組織と同様に、顧客により良いサービスを提供するためにデジタルトランスフォーメーションを進めている。

コルゲート・パルモリーブ社のCISO、アレックス・シュッチマンはこう言う：

「顧客のデータを保護し、製品だけでなく、顧客と当社とのデジタル・インタラクションにおいて信頼を築くことができることは、当社にとって非常に重要です」。

しかしアレックスにとっての課題は、潜在的な顧客データ漏洩の根源であるコードそのものを保護することだった。

「アプリケーションのビルドサイドで働いたことは、CISOとしての役割に切り替えたときに本当に役に立ちました。AppSecからチケットが戻ってくる苦痛や、再作業のために締め切りに間に合わないフラストレーションがよくわかります。その結果、CISOとしての私の目標は、単にソフトウェア開発ライフサイクルのセキュリティを高めるだけでなく、その実装方法を合理化することでした」。

アクション

Colgate-Palmolive社は、セキュリティトレーニングを一口サイズの小さな塊に分割することで、この課題に取り組んだ。こうすることで、開発者は、これまで慣れ親しんできた長くて一枚岩のコンプライアンス・トレーニングではなく、ワークフローに組み込むことができるようになった。Secure Code Warriorのセキュアコード学習へのアジャイル、インコンテクストアプローチを活用することで、開発者は実際のプロジェクトのコンテキストで脆弱性を理解できるようになり、セキュアコーディングスキルのエンゲージメント向上と長期的な定着につながりました。

「アレックスは言う。「私は、開発者の参加を維持しながら、これらのベスト・プラクティスを展開したかったのです。"プログラムの重要な部分はまだ義務付けていますが、トレーニングを管理しやすくし、開発者のフィードバックに耳を傾けることが、プログラムの成功に役立っています"

Colgate-Palmolive は、GitHub リポジトリをゲートする Okta ワークフローを実装し、特定の SCW 評価に合格した開発者だけがプル・リクエストにアクセスできるようにした。

結果

アレックスは言う、 「成功のために最適化するには、開発者を最初から参加させる必要があることを理解していました。そのため、開発者がプログラムの成功に欠かせない存在であることを認識させました。その結果、セキュリティ・チームと開発者たちの関係はより良いものになり、まるでチームでプログラムに取り組んでいるような感覚になりました。私たちは、すでに享受した成功を土台に、セキュリティ成熟度向上プログラムを拡大し、規模を拡大し続けています。"

要点

1. プログラムの目標を明確に定義し、開発者の意見と参加を重視する。開発者は、ワークフローに組み込まれ、毎日使用している開発ツールと統合された安全なコード学習プログラムに賛同する可能性が高い。
2. OktaのようなSSOツールを使ってコードリポジトリをゲートすることで、チームにインセンティブを与える。 特定の SCWcourses とassessment に合格した開発者だけが、プルリクエストを行うことを許される。  
3. 時間をかけて、AppSec チームと開発チームの間の強固な協力関係を促進するセキュリティ文化を構築する。

‍

Vis Chirravuri氏との対談では、同氏が安全なコード学習プログラムのために、人、プロセス、テクノロジーのアプローチをどのように開発したかを直接学ぶことができます。