コルゲート・パルモリーブ：開発者のセキュリティスキル向上と安全なコーディング文化の構築方法

長文なので要約

コルゲート・パルモリーブについて

コルゲート・パルモリーブ社は、世界中の家庭で広く知られ愛されているマーキス消費財ブランドです。2世紀以上の歴史を持ちながらも、同社は革新的な成長企業として、デジタル技術を活用し、人間、ペット、そして地球のためのより健康的な未来を再構想しています。

状況

他のほとんどの組織と同様に、コルゲート・パルモリーブは顧客サービス向上のためのデジタル変革を進めており、これにより同組織のアプリケーションセキュリティへの取り組み方が変化している。

高露洁棕榄の最高情報セキュリティ責任者アレックス・シューマンはこう述べた：

「当社にとって、お客様のデータを保護し、信頼を築くことが極めて重要です——それは当社の製品内だけでなく、お客様と当社のデジタルインタラクションにおいても同様です。」

しかしアレックスにとっての課題は、潜在顧客データの漏洩源であるコードそのものを保護することだった。

私が最高情報セキュリティ責任者（CISO）の職に異動した際、アプリケーション構築の分野での経験が確かに役立ちました。アプリケーションセキュリティ（AppSec）からチケットが戻ってくる苦労も、手戻り作業で期限に間に合わない苛立ちも理解しています。そのため、CISOとしての私の目標は、ソフトウェア開発ライフサイクル（SDLC）のセキュリティを向上させるだけでなく、その実施方法を簡素化することにあります。

行動

コルゲート・パルモリーブはこの課題に対処するため、セキュリティ研修をより小さな単位に分割しました。これにより開発者は研修を受け入れやすくなり、従来の長い単一のコンプライアンス研修ではなく、自身のワークフローに組み込むことが可能になりました。Secure Code Warrior 開発者は実際のプロジェクト環境における脆弱性を理解できるようになり、関与度を高め、長期的にセキュアコーディングスキルを維持できるようになります。

アレックスは言った。「開発者の関与を維持しながら、これらのベストプラクティスを導入したいと考えています。」「計画の重要な部分は依然として規定していますが、トレーニングの管理可能性を維持し、開発者のフィードバックに耳を傾けることが、この計画の成功につながっています。」

高露洁棕榄は、GitHubリポジトリへのアクセスを制御するOktaワークフローを実現し、特定のSCW評価を通過した開発者のみがプルリクエストにアクセスできるようにしています。下図の通りです。

結果

アレックスによれば 「成功を収めるための最適化を行うには、開発者を最初から関与させる必要があることを私たちは理解していました。そのため、開発者たちがこの計画の成功に不可欠な役割を担うことを確実に認識させました。その結果、セキュリティチームと開発者の関係が大幅に改善され、まるでチームとして一体となって計画を構築しているかのような感覚を得られました。これまでの成功を基盤に、今後もセキュリティ成熟度プログラムの拡大と拡張を継続していきます。」

重要なポイント

1. プロジェクト目標を明確に定義し、開発者の意見と参加度を重視する。開発者は、自身のワークフローに組み込まれ、日常的に使用する開発ツールと連携する安全なコード学習プログラムをより受け入れやすい。
2. OktaなどのSSOツールを使用してコードリポジトリをロックすることで、チームを動機付けられます。特定のSCWコースと評価で合格点を取得した開発者のみがプルリクエストを提出できます。
3. 時間の経過とともに、安全文化を構築し、AppSecと開発チーム間の強固な協力関係を促進する。

‍