急成長期のアプリケーションセキュリティ：開発者の力を引き出し、技術人材不足を乗り越える

急成長中の多くのテクノロジー系スタートアップは、動きの速い競合他社に先んじてアプリケーションを市場に投入するよう迫られています。優先事項が競合し、開発スピードとの二者択一を迫られると、「いずれ対応すればいい」という考えに陥りがちです。これは不必要なリスクを招きますが、適切なツール、プロセス、マインドセットを取り入れた効果的なAppSecプログラムを実施すれば、リスクを軽減できます。

この記事では、急成長に伴う課題と、開発者自身がアプリケーションセキュリティに責任を持てるよう支援し、それらを克服する方法を紹介します。

急成長に伴う課題

急成長企業が直面する大きな課題の一つは、開発者とサイバーセキュリティ人材の採用です。テクノロジー関連職の採用は常に困難でしたが、業界全体で開発者の需要が急増し、急速に成長する企業はその影響を受けています。実際、労働市場における「大退職時代」の危機に関する調査では、調査対象となったCEOの4人に3人が、労働力やスキルの不足を、今後1年間に事業を混乱させる最大の外部要因として挙げました。サイバーセキュリティ人材の不足は以前から続く問題で、(ISC)2の年次サイバーセキュリティ人材調査でも数年にわたって報告されています。2021年版の(ISC)2調査では、次のように報告されています。

「サイバーセキュリティの専門家は、人材不足がセキュリティニーズを満たすうえで依然として最大の障壁だと述べています。調査参加者の3分の2（60%）が、サイバーセキュリティ人材の不足によって組織がリスクにさらされていると回答しました。」

新たに開発者を採用できても、オンボーディングには別の課題があります。ソフトウェアエンジニアが新しい技術スタック、コードベース、チームの開発手法に慣れるまで、十分に力を発揮できるようになるには数週間、場合によっては数か月かかります。しかし、急成長企業では一度に多くのエンジニアをオンボーディングするのが一般的です。その結果、マネージャーやメンターの負担が増え、悪い習慣が定着しやすくなるほか、可視性や監督が十分でない分野を開発チームが見落とす原因にもなります。

セキュリティの観点では、セキュアコーディングの経験がある開発者の採用やオンボーディングはさらに困難です。多くの開発者はこうしたスキルを身につけるためのトレーニングを受けていません。そのため、開発者よりも人員が少ないことの多いセキュリティチームは、急成長企業のニーズに応えられない従来型のアプリケーションセキュリティツールに頼ると、セキュリティ課題への対応に追われることになります。

しかし、ご安心ください。こうした課題を克服する方法はあります。

開発者の力を引き出し、アプリケーションセキュリティを強化する

急成長企業には数多くの課題があるため、スピードとセキュリティの両立を可能にする効率的なAppSecプログラムを導入することが重要です。セキュリティを損なわずに開発スピードを高める最善の方法の一つは、開発者の力を引き出すことです。

急成長する組織でアプリケーションセキュリティソリューションを選ぶ際に、考慮すべきポイントをいくつか紹介します。

開発者にとって使いやすい

時間に追われている開発者は、余計な手間がかかるセキュリティツールをわざわざ使おうとはしません。そのため、アプリケーションセキュリティツールは既存のワークフローに直接組み込まれ、開発者が普段使っている環境で利用できる必要があります。DevSecOpsの中核となるこのシームレスなアプローチにより、課題への意識が高まっているその場で、開発者はセキュリティツールを活用できます。

高いパフォーマンス

セキュリティツールは開発を遅らせるという印象を持つ開発者は少なくありませんが、必ずしもそうとは限りません。実際、適切なツールを使えば、開発ライフサイクルを短縮し、開発スピードを高めることもできます。高性能なセキュリティツールは、セキュリティ課題の発見から開発者による修正までのフィードバックループを短くし、アプリケーションセキュリティに必要な全体的な作業量を減らします。

実行につながるインサイト

従来型のアプリケーションセキュリティツールの大きな欠点は、実行につながるフィードバックが不足していることです。急成長企業に限らず、どの組織の開発者も、セキュリティ課題の解決策を調べる余裕はありません。適切なアプリケーションセキュリティツールなら、脆弱性を発見するだけでなく、すぐに修正できるよう具体的なインサイトも提供します。

セキュリティ教育

採用における課題の一つは、サイバーセキュリティ人材が不足していることです。多くのコンピューターサイエンス課程やコーディングブートキャンプでは、セキュリティが主要な学習テーマではないため、セキュアコーディングの原則を理解していない開発者も少なくありません。そこで私たちは、開発者向けのセキュリティ教育プラットフォームSnyk Learnを構築しました。この無料のリソースでは、具体的な脆弱性を扱う実践的なチュートリアルを通じて、開発者のセキュリティスキル向上を支援します。

セキュリティチャンピオン

開発チームにセキュリティを浸透させるもう一つの方法は、セキュリティチャンピオンプログラムを構築することです。セキュリティチャンピオンとは、アプリケーションセキュリティに関心を持ち、開発チームとセキュリティチームの間で意識向上や知識共有を促す開発者です。セキュリティチャンピオンプログラムを通じて、急成長する組織は開発ライフサイクル全体でセキュリティを最優先事項として維持できます。

セキュリティを確保しながら、速く成長する

急成長に伴う課題を克服するのは簡単ではありません。しかし、だからといってアプリケーションセキュリティを軽視してよいわけではありません。適切なツール、プロセス、文化を取り入れれば、急成長企業は開発者の力を引き出し、これまで以上の速さでセキュアなソフトウェアを構築できます。

急成長を遂げている組織ですか？ 詳しくはこちら Snykとともに、セキュリティを確保しながら成長する方法をご覧ください。