米国政府のサイバーセキュリティ＆インフラセキュリティ局（CISA）が包括的なセキュア・バイ・デザイン・ガイドラインを発表してから2年が経過し、ソフトウェアメーカーに影響を与える分水嶺となった。初めて、ソフトウェアの品質とセキュリティの基準を引き上げるためのトップレベルのサポートが目に見える形で行われ、脆弱性のないコードを出荷するためのエンドユーザーではなく、ベンダーの責任への取り組みが推進された。

しかし、これらの原則を企業レベルで実際に実施することに関するコンセンサスは、なかなか得られないことが判明した。セキュリティ専門家の間でも、セキュア・バイ・デザインを構成するものについてのコンセンサスは得られていないようであり、ましてやそれを達成するための標準的な道筋が示されているわけでもない。 Secure Code WarriorSecure Code Warrior は、ソフトウェアの構築に重点を置く企業のセキュリティ専門家にインタビューを行い、Secure by Design の原則に対する現在のアプローチ（現在のセキュリティ態勢とソフトウェア開発ライフサイクル（SDLC）にどのように実装されているかなど）を深く掘り下げました。その結果、CISA の指針を実施するための広く受け入れられている標準がないこと、また、展開が成功したかどうかを判断するためのアクティブなベンチマークがないことが明らかになりました。業界として、セキュリティの説明責任とソフトウエアの品質が高まるというメリットを享受するためには、これは迅速に修正されなければなりません。 

‍

このリサーチペーパーでは、Secure Code Warrior 共同設立者であるPieter Danhieux氏とMatias Madou博士、そして専門家の寄稿者である元米国サイバーディレクター（現在はPaladin Capital Groupの戦略顧問）のChris Inglis氏、Paladin Global InstituteのシニアディレクターであるDevin Lynch氏が、CISO、アプリケーションセキュリティ担当副社長、ソフトウェアセキュリティの専門家など、企業のセキュリティリーダー20人以上への詳細なインタビューから得られた主な知見を明らかにします：

‍

• 企業で直面する一般的なセキュリティプログラムの課題についての洞察；
• セキュアバイデザイン・イニシアチブの役割；
• ソフトウェア開発におけるAIの役割、最新の脅威モデリング；
• ベストプラクティスの解釈、およびセキュア・バイ・デザイン戦略を業界全体で整合させるために精密データとベンチマーキングが果たす役割。 

‍

セキュアコーディングを定着させる専門家のサポート

SCWのプロフェッショナルサービスは、お客様のプログラムの各段階に深い専門知識を提供します。元セキュリティ専門家のチームが、リスクベースのアプローチで成功を加速します。

• 実戦で培われた専門知識 - 推測ではなく、実世界の洞察に頼る
• 開発者のリスク低減にリスクベースの手法を適用する。
• お客様のチーム、ツール、文化に合わせてロールアウトとトレーニングをカスタマイズします。
• 継続的なレビューとROIの追跡でプログラムを進化させる

プログラムを始めたばかりの方でも、次のレベルに進もうとしている方でも、より早く、そして持続的な成功を収めるために、私たちがお手伝いします。

‍

人工知能エンジンはいたるところで普及し始めており、新しいモデルやバージョンが登場するたびに、さまざまな分野に応用できる、より強力で印象的な能力がもたらされているようだ。AIの可能性のある使用例として提案されている分野のひとつは、コードを書くことであり、いくつかのモデルはすでに多数のプログラミング言語を使ってその能力を証明している。

しかし、AIが人間のソフトウェア・エンジニアの仕事を引き継ぐという前提は誇張されすぎている。現在稼働しているトップクラスのAIモデルはすべて、その高度なプログラミング能力に関して決定的な限界を示しており、特に、クラッキングスピードでコンパイルしたコードにエラーや脆弱性を混入させる傾向がある。 

AIの活用が過重労働のプログラマーの時間短縮に役立つことは事実だが、将来は人間とAIが協力し、すべてのコードが可能な限りセキュアであることを保証するクリティカルシンキングと正確なスキルを適用する才能ある人材が完全に担当するようになるだろう。そのため、セキュアなコードを書く能力、脆弱性を発見する能力、そしてアプリケーションが本番環境に入るずっと前から可能な限り保護されていることを確立する能力は不可欠である。

Secure Code Warrior のこの新しいホワイトペーパーでは、以下のことを学ぶことができる：

• LLMのコード出力を盲信することの落とし穴。
• AIコーディングツールで安全に「ペアプログラミング」を行うには、なぜセキュリティに精通した開発者が鍵となるのか。
• AIがプログラミングを支援する時代に、開発者のスキルを向上させる最善の戦略。
• AIの限界（と、それをどのように回避するか）を紹介するインタラクティブなチャレンジ。

‍

PDF版を開く

セキュアコーディングプログラムの影響を定量化する業界初のベンチマーク

企業全体のソフトウェア・チームは、高品質でセキュアなコードをより速く、本番前に確実に提供しなければならないというプレッシャーにさらされている。これは、開発者主導のセキュリティという概念を生み出しました。この強力な動きは、開発者の生産性を向上させ、ソフトウェア開発サイクル全体の動きを迅速化し、イノベーションを増大させ、最終的にビジネスの成長につながります。セキュアな学習プログラムの世界では、同じセキュアコードプログラムを受けているにもかかわらず、チームには、トップパフォーマー、平均的な成績の者、追加のサポートが必要な者など、さまざまな専門知識が含まれていることが多い。しかし、優れた学習とはどのようなものなのか、また、どのような学習と比較して優れた学習なのかを、どのように見分けることができるのでしょうか。組織は、開発者のセキュリティ上の地位のベルカーブを定義するベンチマークを必要としている。セキュリティ学習プログラムの現状を測定し、その有効性を評価し、チームがパフォーマンスを最適化できるようにするための基準値として使用できるスコアである。

価値とメリット

• シンプルで効果的、意味のあるデータ
• セキュリティ・プログラムの成功を測定する
• ソフトウェア品質の向上
• チーム関係の改善
• 安全なコーディング・スキルへの洞察
• 熱心なユーザーと開発者の維持

セキュリティ・プログラムの現状をベンチマークする

自社のセキュリティ・プログラムを業界の同業他社と比較してベンチマークを作成し、ビジネス目標に沿った標準を確立します。ベンチマークを活用することで、パフォーマンス比較の基準値が得られ、データに基づく意思決定と継続的な改善の機会が得られ、セキュリティ体制を最適化できます。

同業他社、競合他社、グローバル組織との比較において評価される。

SCW Trust Score は、個々の受講者のスキルレベルを集計し、組織の信頼スコアを算出することで、セキュリティプログラムの有効性を測定します。銀行・金融サービス、テクノロジー、グローバルの各業界に合わせたベンチマークにより、企業の信頼スコア、業界ベンチマークの分布、学習者のスキルレベルの分布に関する洞察を、カスタマイズ可能なドリルダウンおよびフィルタリングオプションとともに提供します。

業界で最も包括的なセキュリティスキルベンチマークに自信を持つ

SCW Trust Scoreは、600社以上、25万人の学習者から収集した2000万件以上の学習データから得られた洞察を活用し、動的アルゴリズムを活用した業界初のソリューションです。このスコアは、OWASPトップ10に関する知識の習得の深さなど、当社のプラットフォーム内で完了した学習活動の数々を考慮します。これらの比類のない洞察は、組織が自信を持って他者に対するパフォーマンスを測定するのに役立ちます。

‍

PDFを見る

‍