30万人の開発者は、いったいどのようなセキュリティ対策を取ったのか？

BSIMM 8 が公開されました！素晴らしい。これは大規模組織がセキュアなソフトウェアを生産するためにどのようなセキュリティ対策を実施しているかを調査した唯一の大規模研究です。

この調査は、Gary McGrawの監督のもと、アプリケーションセキュリティ専門家によって実施され、収集データの整合性と正確性を確保するとともに、30万人の開発者の日常業務を詳細に把握しました。私の最新のプレゼンテーションでは、BSIMMのデータを引用し、平均して100人の開発者につき2人のアプリケーションセキュリティ専門家がいることを示しました。

しかし、BSIMM4以降、状況は変わりました。BSIMM8の報告によれば、この数値はさらに減少しており、現在は100人の開発者あたり1.6人となっています。人材不足のため、アプリケーションセキュリティの専門家をさらに雇用することは現実的ではありません。組織がすぐに活用でき、拡張可能な安全なコードを記述できるよう、開発者にツールとトレーニングを提供することが、これまで以上に必要とされています。

この報告書によると、トレーニング実践において最も一般的な活動は、全従業員への意識向上トレーニングの提供であり、67％を占めています。私はSecure Code Warrior（SCW）におけるトレーニング実践の内容を整理し始め、当社のソリューションがトレーニング実践の全12項目——レベル1（大半の企業が実施）からレベル3（ごく少数の企業のみが実施）まで——を網羅できることに気づきました。

単一のソリューションで練習全体をカバーできる！12のトレーニング実践の中で、Secure Code Warrior ：

• レベル1：意識向上トレーニングの提供
• レベル1：オンデマンド個人トレーニング
• レベル2：訓練による衛星の強化（SCW指標）
• 第3レベル：コースの進捗状況に対する報酬（SCWバッジ）
• レベル3：サプライヤーまたは外部委託従業員への研修提供（SCW評価）
• レベル3：外部ソフトウェアセキュリティイベントの開催（SCWトーナメントモード）
• レベル3：訓練による衛星識別（SCW指標）

現在の解決策でこれらの問題を解決できると確信していますか？