なぜセキュリティコードがソフトウェア開発の新たな成功指標なのか

過去数年間、迅速な市場投入という名のもとに、サイバーセキュリティ、数兆バイト規模の機密顧客データ、そして計り知れないブランド評価など、多くのものが犠牲にされてきた。 新機能の迅速なリリースを迫る巨大なプレッシャーにより、複雑で分散したチームは迅速な開発に注力する一方、それが引き起こす可能性のある脆弱性や重大なリスクについてはほとんど認識していません。今こそ新たな働き方が求められています。そこで2020年、Secure Code Warriorはエバンス・データ社と共同で、開発者とそのマネージャーが安全なコーディング、安全なコード実践、安全な運用に対して抱く姿勢に関する予備調査を実施しました*（ホワイトペーパーのコピーをダウンロード） こちら）。

プロジェクト成功のパフォーマンス指標——安全性はどこにあるのか？

開発者とマネージャーは、安全なコードを持つことが重要だと認識しているが、他の要素ほど重要ではないと考えている。開発者とマネージャーにソフトウェア開発プロセスにおける最も重要な優先事項を尋ねたところ：

• 76% のノミネートアプリケーションのパフォーマンス
• 62% が特性と機能を選択しました
• さらに50％をわずかに上回る選択された安全コード
  

安全コーディングは、プロジェクトの成功を測る他のパフォーマンス指標と比べて、現時点で上位3分の1に位置しているに過ぎない。

現在（おそらく驚くことではないが）、開発者はプロジェクトの成功を性能指標に基づいて判断しているが、これらの指標はプロジェクト完了後にのみコードを評価できる。

しかし、将来の変化について尋ねると、状況は一変した。組織が成功の尺度としてセキュリティを位置付ける方法が変わりつつある。セキュアコーディングが最優先事項となっている。

将来のプロジェクトの成功率を測る上で最も重要な優先事項について尋ねられた際、回答者の79％がセキュアコーディングの重要性が増すと回答した。驚くべきことに、他のどの業績評価指標よりも高い割合で、将来のセキュリティの重要性が増すと考える人が多かった。セキュアコーディングへの認識が高まり、「左にシフト」する動きも拡大している。本質的に、セキュアコーディングの実践とは、SDLC（ソフトウェア開発ライフサイクル）の早い段階でセキュリティを考慮することを意味する。これは、セキュリティを後回しにするのではなく、最初からソフトウェアに積極的に組み込むことを意味します。

最高情報責任者が組織の柔軟性向上に取り組む中、安全なコーディング能力は重要なイノベーションの武器となる。最高情報責任者と最高情報セキュリティ責任者は、自社の開発チームがリスクに対する最初の防衛ラインなのか、それとも最初の防御ラインなのかを慎重に検討すべきである。

この見解は、組織が開発者をどのようにトレーニングするかに極めて重要な影響を与えます。チームは、最近発見された脆弱性を理解し、自らが使用する言語やフレームワークで学習する必要があります。端的に言えば、日常の作業環境において、コード内の既知の脆弱性を特定し、認識し、修正する方法を理解する必要があるのです。

セキュアコーディング変革の推進者として、Secure Code Warriorは人間中心のアプローチを採用し、開発者が自発的にセキュアコーディングスキルを学び、育成するよう促します。セキュリティを損なうことなく、チームが左にシフトし、より迅速にセキュアなコードをデリバリーする能力にどのような潜在的な影響があるか知りたい場合は、 今すぐデモを予約してください。

‍

*反応から予防へ：アプリケーションセキュリティの状況変化。セキュリティコード・ウォリアーズとエバンスデータ社 2020