黄金を追う：Paysafeが絶えず高めるセキュリティコード基準

ペイセーフは金融取引を信頼に基づく体験へと変革する支援を提供しています。年間152億ドルを超える取引量を処理する安全でシームレスなプラットフォームを提供するには、基本的なコンプライアンス基準を満たすだけでは不十分であることを理解しています。過去4年間、ペイセーフはSecure Code Warriorとの協業を通じて、開発者向けリスク管理の包括的アプローチを推進し続けてきました。そのアプリケーションセキュリティプログラムは、以下を含む事業全体のニーズにプラスの影響をもたらしています：

課題：Paysafeのセキュリティコード基準の向上

国際的なオンライン決済プロバイダーとして、Paysafeは常に安全なコーディングを戦略的優先事項と位置付けており、その範囲はPCI DSS準拠要件を満たすだけにとどまりません。専門家主導の正式な教室研修やスキル評価が初期段階の取り組みの一部ではあったものの、Paysafeの目標は一貫して安全なコーディングプログラムの範囲と規模を拡大し、最先端のアプリケーションセキュリティ手法を採用するとともに、エンジニアが最初から安全なコードを書くことを確実にすることにあります。

「私たちにとって、提供するトレーニングは決してチェックボックスを埋めるだけのものではありません。私たちの目標は、従業員に継続的な状況の変化を理解してもらうことです。私たちは常により良く、より多くを達成しようと努力しています。エンジニアリングチームとセキュリティチームが協力することを望んでいます。自ら開発できるチームは状況をより深く理解し、より優れたコードを設計できるでしょう」と、Paysafeの人事開発パートナーであるボヤン・フリストフ氏は述べています。

Paysafeのビジョンは、セキュリティを左シフトし、セキュリティ意識の高いエンジニアを育成し、安全なコーディング実践をソフトウェア開発ライフサイクルの各段階に組み込むことです。これを支援するためには、PCIコンプライアンス目的の監査証拠を提供するだけでなく、深く持続的な文化変革を推進する、拡張性があり魅力的で継続的なプログラムが必要です。これにはゲーミフィケーションを活用した学習体験、定期的なコンテスト、継続的なトレーニングが含まれ、開発者を惹きつけ、業界のセキュリティ動向の最先端に立つよう促します。

解決策：セキュリティコード戦士による最先端の手法を活用する

PaysafeSecure Code Warrior を採用しSecure Code Warrior 安全なコーディング実践の拡大、エンジニアの惹きつけ、開発ライフサイクルの早期段階でのセキュリティ組み込みを支援しています。時間の経過とともに、同社のセキュリティチャンピオンプログラムは発展を続け、Secure Code Warriorはサイバーリスク防止目標の達成において重要な役割を果たしました。

Paysafeは開発者がプラットフォームに有機的に参加することを可能にし、魅力的な賞品を提供するトーナメントなどのゲーミフィケーション活動を奨励することで、開発者の参加意欲と興奮を高めています。プログラム開始当初は、PCIコンプライアンス要件を満たすための評価を義務付けつつ、その他のコンテンツや活動をオプションとして提供していました。

この計画が注目を集めるにつれ、経営陣は追加支援を提供し、開発チームと情報セキュリティチームの目標をさらに調整しました。これによりPaysafeチームは計画を新たな段階へ引き上げ、特定の主要業績評価指標（KPI）と成功インセンティブを含む、より正式な認定プログラムを導入することが可能となりました。

このプログラムの次の段階では、業界標準であるOWASPトップ10のテーマに焦点を当て、認定段階では開発者が様々な達成レベルを通じて前進できるようになっています。現在、このプログラムの規模と成熟度は新たなレベルに到達し、正社員から臨時雇用者まで、開発者の基準を包括的に向上させています。

「過去4年間にSCWと築いてきたパートナーシップを非常に重視しています。ペイセーフの最高情報セキュリティ責任者であるアラン・オズボーンは次のように述べています。私たちは共同で、安全なコードを初期段階で開発し、SDLCの早い段階で対象を絞ったアプリケーションセキュリティトレーニングを提供することに注力し、セキュリティチームとエンジニアリングチーム間のより強固な関係構築を促進しています。」

最高情報セキュリティ責任者、最高技術責任者、およびエンジニアリング部門の経営陣による継続的な支援と調整のもと、Paysafeはセキュリティコード・ウォリアーズと協力し、プログラムを絶えず発展させてきました。現在では、このプログラムはビジネスニーズと密接に関連し、具体的な成果を提供するとともに、内部チームにとって依然として関連性と魅力を保っています。

成果：組織全体の安全コードの新基準

Paysafeは4年前から開始したアプリケーションセキュリティ対策を進化させてきました。Secure Code Warriorとの協業を通じて、Paysafeは開発者リスク管理の包括的アプローチが組織全体に大きな影響をもたらし得ることを実証しました。

PaysafeのSASTスキャンデータ分析によると、Secure Code Warrior（SCW）トレーニングを受けたチームが開発したアプリケーションでは、初期開発段階のスキャンで検出される脆弱性が大幅に減少していることが明らかになりました。開発者がSCWプラットフォームに積極的に関与しているチームでは、初回スキャン時に発見される脆弱性の数がさらに減少しています。

Secure Code Warrior 、開発初期段階で発見される脆弱性が前年比で大幅に減少していることを確認しました。これは継続的かつスキルベースのトレーニングが、安全なコーディング習慣の定着に付加価値をもたらすことを浮き彫りにしています。初期段階から安全なコードを作成することで、自チームおよびSDLC内の他チームに膨大な時間を節約しています。開発初期段階での脆弱性予防により、コードの脆弱性を特定・記録・修正する手間が不要となり、数千時間もの開発時間を節約しています。これにより開発者の生産性が45％向上し、セキュアコーディングスキルの向上と日常的な開発プロセスの改善がもたらすメリットを実証する一助となっています。これはエンジニアリングチームとAppSecチーム双方にとってWin-Winの関係です。

ペイセーフのセキュリティコードへのこだわりが評価され、^{同社は銀行・金融サービス分野のベンチマークにおいてSCWトラストスコア®で} 第4位を獲得しました。この栄誉ある成果にもかかわらず、ペイセーフのセキュリティコードプログラムへの取り組みはこれで終わりではありません。Secure Code Warriorとの協業で得た成果に勇気づけられた同社は、このプログラムをさらに高みへと導くことを目指しています。

ペイセーフの最高情報セキュリティ責任者アラン・オズボーン氏は次のように述べている：Secure Code Warriorは開発者の生産性向上、市場投入と改善の加速を実現し、長期的にコストとリスクを大幅に削減しました。」「開発者トレーニングの強化を推進する中で、セキュアコーディングが単なる『良い取り組み』ではなく、開発者のスキル・経験・能力を高めつつ真の投資対効果をもたらす実証済みの投資であることを証明しました。」

次に、Paysafeは追加のガバナンスおよびリスク管理措置をプロセスに組み込むことで、セキュリティ基準のさらなる実施を目指します。SCW Trust AgentはSecure Code Warriorとの長期的なパートナーシップを深化させ、卓越したサイバーセキュリティへの取り組みを表明します。