我们的内容是为软件开发生命周期中的任何角色精心策划的。Secure Code Warrior认为，软件开发中的每个人都有责任确保正确创建和部署软件。因此，我们为以下角色提供了一系列内容，从认识主题到深入的实践练习：

Secure Code Warrior 为参与软件开发生命周期的所有角色提供了一系列内容，从意识主题到深入的实践练习。我们相信，软件开发中的每个人都在软件的安全创建和部署中发挥着作用。我们的内容是针对各种角色精心策划的。

• 软件开发人员: AI/Vibe 编码人员、前端、后端、API 工程师、移动工程师、Android/iOS 工程师、嵌入式和汽车行业工程师
• 技术专业人员: DevOps、系统管理员、云工程师、架构师、质量保证工程师/经理/测试人员、
• 管理层及其他: 工程经理、产品经理/项目经理/业务分析师、数据科学家/分析师/工程师

Secure Code Warrior 提供特定编码语言和框架的动手实践练习，因此开发人员可以将这些技能应用到日常工作中。我们支持超过 65 种编程语言/框架和 10,000 种动手活动。

OWASPトップ10を制覇したいですか？OWASPトップ10:2025の影響からアプリケーションを保護する無駄のないガイドをダウンロード

セキュリティスキルを備えた優秀な開発者であるあなたにとって、最も一般的な10のセキュリティ脆弱性は許容できません。この無料電子書籍は、2025年版OWASP Top 10に名を連ねる悪名高い各脆弱性と、それぞれの欠陥の動作原理を理解するための究極の実践ガイドです。

あなたはなぜそれらがそれほど危険なのかを理解し、最も重要なのは、それらをソフトウェアから永久に除去する方法です。追加の利点として、このガイドにはスキル向上に役立つ指導的な動画学習モジュールへのリンクが提供されています。

あなたは：

• インジェクション脆弱性やトップエラー、アクセス制御の失敗など、一般的なエラーの識別と修復方法を学びます。
• ソフトウェアサプライチェーン障害や異常状態の不適切な処理など、新たな項目について新たな知見を得て実践的に学ぶ
• セキュリティコーディングとコード品質への注力が、脆弱性とサイバー攻撃のリスクを低減する強力な防御手段である理由を理解する。

次の安全なコーディングの挑戦に備えていますか？

IAGグループはアジア太平洋地域の多くの主要保険会社の黒幕的存在であり、年間約114億豪ドルの保険料を数百万の顧客に提供している。ビアンカ・ウォースはIAGグループの企業セキュリティ教育・啓発マネージャーである。彼女は開発チーム内部に厳格なセキュリティ意識と実践が必要であることを強く認識し、チームが重要なセキュアコーディング技術を学べる真に革新的な最適な環境の構築に着手した。

入力：パスワードゲーム

挑戦

開発者は往々にして時間が限られており、複数の成果物やプロジェクトが進行中です。しかし、最新のセキュリティベストプラクティスを維持することは、あらゆる組織にとって極めて重要です。ましてや数百万件もの機密顧客データを保持し、ハッキングから守る組織にとってはなおさらです。ビアンカと彼女のチームは、サイバーセキュリティ対策強化の道筋において明確な目標を設定しました。彼らは、INIAGが開発するアプリケーションの攻撃対象領域を最小化することが最優先課題であると判断し、開発者に対して重要かつ高リスクな脆弱性を識別・修正する教育を通じてこれを実現します。確かに長時間のセキュアコーディング研修は存在しますが、それらは労力がかかり、退屈であり、納期が厳しい開発プロジェクトから重要な従業員を離脱させることで、企業全体に負担をかける可能性があります。開発チームのスキルを迅速に向上させつつ、業務量や運営への影響を最小限に抑える必要性が明らかでした。さらに、オーストラリアとニュージーランドの開発者が必ずしも同一のシステムを開発しているわけではないため、これは容易なことではありません。

今年、私はソースコードを変更し、SQLインジェクションの脆弱性を削除しました。彼らがこの点を認識したため、私はその功績を『暗号ゲーム』に帰しています。安全なコーディングを最優先に置くだけでも有益です。競争は人々が最善を尽くすよう促す良い方法です… 現実を直視しましょう、セキュリティは誰もが最も楽しい話題ではないのですから、これは人々を巻き込む良い方法なのです。」R 、IAG開発者

実施状況

ビアンカはゲーミフィケーションを活用した研修体験の導入戦略を策定し、チームおよびセキュリティコード・ウォリアーズと連携して、社内開発者のスキル向上を目的としたコンテストと研修を実施した。このため、健全なコミュニケーション戦略を構築し、従業員が新たなプラットフォームを採用しその可能性を最大限に引き出す際に持つ、多様な動機や個性を考慮する必要があった：

「私たちはコミュニケーション計画を設計しました。これには、従業員や主要な利害関係者に伝えるべき要点、重要な情報、そして彼らに提供するインセンティブについて、どのように伝えるかが含まれています。多くの人々はゲーミフィケーション体験を本当に好みます。これは彼らの個性、動機、そして彼らを駆り立てる原動力に依存します。だからこそ、私たちは人々に全く異なる動機を提供しようと努めているのです。ある人々にとっては賞品が魅力的であり、別の人々にとっては達成感そのものが十分なのです」と彼女は語った。

ビアンカとIAGはSecure Code Warriorのゲーミフィケーション学習プラットフォームを専門的に披露し、彼らの競技会を「プログラミングゲーム」と称される楽しい競争体験へと変貌させた。スタッフは中世をテーマにしたハウス（ブランドプレイヤーグッズ付き）に配置され、文字通りHBO同名ドラマさながらの戦いを繰り広げた。

今回の選手権は国際的な舞台にまで発展し、まもなくオーストラリア対ニュージーランドの試合が開催される。これによりIAGは両国の主要な安全支援者を特定し、チームが共同でスキル向上を図る機会を得た。

結果

実際、『コードゲーム』は専門的なトレーニングプログラムである。インタラクティブな趣味のトーナメント形式で提供され、スタッフの多様な関与を維持しつつ、この演習の中核的な実用性は依然として変わらない：開発者に、IAGが開発したアプリケーション内の高リスク脆弱性を特定し阻止するために必要なスキルを提供することである。

開発者とセキュリティチームの両方がセキュリティを最優先に考える姿勢で業務に取り組み、最初から準備を整えることで、脆弱性を特定するだけでなく修正も可能になる。IAGは、これにより高コストなペネトレーションテスト活動が減少し、テストを実施するチームの負担が軽減されると予測している。

この極めて重要な能力の継続的な発展に加え、Game of Codesは関係構築にも貢献し、参加チーム間に友好的な感情と健全な競争心を醸成すると同時に、スコアリング大会の環境において個人が自身の安全なコーディング能力に自信を持つよう支援します。

ビアンカは、内部でのこの計画への支持が非常に大きく、行政部門からも積極的に歓迎されていると述べた。これにより、この計画の推進と組織内部の安全の擁護に熱心な個人が参加できる大使計画も実現した：

「一部の開発者にとって、これは良い露出機会であり、スキルを向上させる絶好の機会でもあります。彼らが自身の業務においてもこの経験から恩恵を受けていることは、非常に重要です。」

Game of Codes は「単なるゲーム」でもなければ、部門マネージャーがコンプライアンス研修を完了するためのより楽しい方法に過ぎません。これは高い定着率と魅力的なソリューションを提供し、セキュリティ初心者を迅速にセキュリティ擁護者に変えることで、大規模な脆弱性のリスクを最小限に抑える上で極めて重要です。

そしてビアンカ本人からの究極のアドバイス：

「もしあなたが何かプログラムをリリースして、人々がそれだけを使うことを期待するなら、それはうまくいきません。その周りに計画を設計し、そこで行動変容を促し、動機づけられるようにする必要があります。私たちが構築したのは、本質的に安全性を重視した開発者向け変更管理計画です。」

Game of Codes のトレーニングコースを修了した後、私はセキュリティへの関心がさらに高まり、自動化テストを作成する際にもセキュリティを考慮するようになりました。私はアジャイルチームの上級テスターとして、これらのトレーニングコースを通じてセキュリティテストの知識をさらに学び、専門分野として追求する可能性を感じています。A 、IAG 上級テスター

事実概要

• ゲーミフィケーション学習に加え、IAGは開発者採用におけるスキルテストツールとしてSecure Code Warriorを活用している。
• 彼らは現在、この計画を開発チームの100％に拡大しており、そのうち55％が既にシステムで活動中です。
• 彼らは一連の重要な内部指標を策定し、それによって計画が一定期間においてリスクを最小限に抑え、コスト削減を達成する成功度合いを測定できるようにした。
  

你应该更多地包括开发者的内容、时间和原因。

‍

背景

泰雷兹集团是一家法国跨国公司，为航空航天、国防、运输和安全领域设计、开发和制造电气系统以及设备和设备。Viswanath S. Chirravuri 是泰雷兹的软件安全技术总监。Viswanath，又称 Vis，他的职业生涯最初是作为一名程序员开始的。他现在是泰雷兹的高级安全负责人，在安全行业拥有超过18年的经验，并拥有30多项认证，包括CISSP、PMP和GSE。他已经在超过18个国家培养了3,000多名软件专业人员。此外，Vis在国际网络安全锦标赛（例如Netwars）中赢得了超过10枚SANS挑战币，并且是GIAC顾问委员会的活跃成员。我们与 Vis 进行了交谈，了解他如何协调人员、流程和技术，在泰雷兹成功开发安全代码学习计划。

状況

当Vis开始在泰雷兹工作时，他指导各业务部门研究通过笔试发现的漏洞的来源，以此作为减少科技债务积压的可能解决方案。应用程序安全团队使用了与他们合作的7家不同供应商来巩固其安全态势——从IAST/DAST工具到笔试工具。Vis希望了解市场趋势并以可扩展的方式管理威胁，通过流程和技术之间的强大整合来制定缓解策略。这意味着从纯粹的基于工具的方法转向具有强大学习成分的策略。他注意到许多开发人员没有安全背景或安全技能。他最初的方法是就OWASP Top 10等主题为开发人员提供基于课堂的培训，但他很快意识到，面对面授课所需的全部差旅以及需要接触全球成千上万的开发人员，这种培训规模无法扩大。维斯指出：

“安全与发展之间的比例总是不平衡的。即使我的安全性与开发者的比例为 1:1，我也无法让他们一直参与进来。让我们的开发人员及时了解新的攻击载体、最佳实践、新语言和新发现的漏洞，这意味着我们需要能够促进开发人员的自我学习，让他们能够按照自己的节奏前进。如果他们需要帮助，我可以帮助他们，但我意识到我不能成为教他们如何修复他们发现的每一个漏洞的人。”

最初，开发经理认识到，有这么多开发人员是从头开始的，因此对开发人员需要花在安全代码学习上的时间进行反对。Vis 需要控制这样的看法，即承诺安全代码学习可能会干扰软件发布周期或减缓关键任务冲刺的速度。他需要找到一种方法来正确激励组织花时间进行安全代码的敏捷学习。Vis采取以人为本的态度从源头解决漏洞， “人们经常说安全占用了开发时间。对我来说，如果你开发了一些不安全的东西，那么一开始就是在浪费时间。您应该始终开发安全的软件，从而节省自己修复本来可以轻松避免的漏洞的时间。我们都应该有一个共同的目标，那就是发布可靠的代码。”

行動

Vis有两个主要目标：保护他们的软件和提高泰雷兹开发团队的安全意识。实施一项允许开发人员独立并按照自己的节奏进行培训的计划至关重要。Vis的战略是随着时间的推移建立一个安全社区，努力将安全编码与公司政策联系起来，并制定组织中安全代码学习的要求。通过鼓励一种将开发人员、测试人员、架构师和工程师联系起来的社区文化，他看到了激励倍增效应。涌现出对安全充满热情的安全倡导者，这是他们日常工作的一部分，这有助于在整个组织中传播对安全编码实践的认识。Vis对十几家安全培训供应商进行了评估，并于2019年成为SCW的客户。对于泰雷兹来说，如果供应商能够涵盖其环境中的所有编程语言和框架，而不是零敲碎打的解决方案，这是一个巨大的好处。Vis 依靠 Secure Code Warrior 的大量内容为安全计划中的开发人员提供培训和自定进度的学习机会：

“OWASP 前十名不仅仅是你需要知道的十件事。OWASP 涵盖的漏洞的深度和多样性，加上编程语言的数量之多，可能会让人不知所措——我们在这些问题上面临的广泛挑战和报道是选择 SCW 的关键因素。他们总是在添加新东西。深度、主题的多样性、最新的内容以及对安全代码设计原则的关注确实使SCW与众不同。有了他们，这不是一次性培训，相反，我们获得了建立持续计划的机会。”

Vis 和他的团队设计了安全代码学习计划的四个层次的推出，每个工程职位都有不同的里程碑：

重要的是，SCW 成为漏洞修复的真实来源。Vis没有依赖可能导致你进行故障排除的谷歌搜索，而是发布了AppSec团队的指南和SCW内容库中的指南，这样开发人员就可以参考可信的真实来源来修复代码中的漏洞。根据维斯的说法：

“开发人员不应自由决定如何修复漏洞，也不应在此过程中可能引入新的漏洞。我们通过 SCW 的 SCORM 集成将 SCW 视频集成到我们的 LMS 中，以确保开发人员学习如何以正确的方式修复漏洞。这也为我们提供了一种确保交付安全软件的开发人员得到认可的方法。我们要求他们达到一定程度的安全编码，我们可以通过他们解决且不会重新引入的漏洞来跟踪这一点。这样，他们所做的辛勤工作就会得到公司的认可和重视。”

結果

Vis和他的团队每月发布一份安全代码简报，在那里他们可以认出公司中最优秀的学习者。他们使用 SCW 来查看评估分数、锦标赛参与情况以及为扩大成就而进行的挑战。这也激励了其他开发人员学习。他最初设定的关键绩效指标侧重于在两年内减少漏洞的总数。在实施SCW之后，他注意到趋势线呈下降趋势。这些漏洞不会在源代码级别重新引入。Vis 是这样说的：

“我们向管理层提交的关键绩效指标反映了我们做出的明智选择。我们为自己的安全代码培训而感到自豪，这为我们的客户带来了商业信心。我们因其全面的安全代码培训计划而获得认可，并受到客户和同行的尊重。当你有这样的计划时，它会为你的公司增加很多价值。”

重要なポイント

Vis 认识到，人员、流程和技术在任何安全计划中都可以发挥作用。通过专注于软件的安全性、开发人员知识和合规性要求，可以将敏捷学习整合到安全代码程序中，从而随着时间的推移减少源代码中的漏洞。Vis向该领域的专业人员提供这些建议，希望在开发人员团队中培养安全技能。