Dun & BradstreetとShutterstockが成功するセキュリティチャンピオンプログラムを構築した方法

先月、セキュリティチャンピオンプログラムを成功させ、拡大する方法について座談会を開催しました。セキュリティチャンピオンとは、セキュリティに関心があり、開発部門に所属する開発者です。開発チームとセキュリティチームの橋渡し役となり、協力しながら知識を共有します。こうしたプログラムは、ビジネスが求めるスピードで安全なアプリケーションを継続的に提供するうえで重要な役割を果たします。

今回のセッションでは、Nitin Bhargava氏（Dun & Bradstreet、製品セキュリティおよびアーキテクチャ担当グローバル責任者兼VP）とChristian Bobadilla氏（Shutterstock、製品・アプリケーションセキュリティ担当ディレクター）を迎え、それぞれのプログラムから得た教訓を伺いました。注目ポイントと重要な学びをご紹介します。

「シフトレフト」型のセキュリティを機能させる方法

ShutterstockとDun & Bradstreetはどちらも、開発者をセキュリティプロセスに早い段階から参加させる、あるいは開発プロセスの初期段階にセキュリティを組み込む「シフトレフト」型のアプローチを採用しています。アプローチは異なっても、目指すのは2つの課題への対処です。深刻なセキュリティ人材不足を補うこと、そしてセキュリティに情熱を持つ人々を見つけて連携し、会社全体のセキュリティを強化することです。

セキュリティチャンピオンプログラムの立ち上げにあたり、Bhargava氏はDun & Bradstreetで重視した3つのポイントを挙げました。

• 開発チームと期待値をすり合わせる: 開発チームに何を求めるのか、どの程度の責任を担ってもらうのか、セキュリティチャンピオンに業務時間のどれだけを割いてもらうのかを明確にしましょう。そのうえで、役割と責任をはっきりと伝える必要があります。

• 指標を集める: まずは試験的なプログラムとして、強制力の弱い形で始めたかもしれません。しかし、組織のより広い範囲に拡大するには指標が必要です。経営陣に「このプログラムにはどのような価値があるのか」と説明できなければなりません。

• 強いコミュニティを築く: 少人数で結束の強いコミュニティがあれば、互いに学びを共有し、プログラムを成功させる当事者意識と意欲を育めます。

ShutterstockのBobadilla氏は、イベントやアクティビティを企画し、楽しさと気軽さを大切にするという異なるアプローチでプログラムを構築しました。ハッキングビレッジや脱出ゲーム、宝探しなどを実施しました。このアプローチには、いくつかの利点があります。

• 顔を合わせ、関係を築く: 開発者はセキュリティチームのメンバーをよく知ることができます。セキュリティに関する問題を相談したり、脆弱性を報告したりする際、誰に連絡すればよいかがわかり、くだけた場で交流しているため気軽に相談できます。

• 楽しみながら学ぶ: 楽しみながら、実践を通じてセキュリティについて学べます。イベントは好奇心を引き出すように企画されており、後日、質問を寄せる人も少なくありません。

• 全員を巻き込む: こうしたイベントは開発者だけを対象にするものではありません。法務など他のチームも招いて参加してもらい、セキュリティの原則が重要であることを誰もが理解する文化を築きます。

この気軽なアプローチの目的は、プログラムへの参加を追加の責任ではなく、特別な機会だと感じてもらうことです。

変化を生み出す

話題は、開発チームのセキュリティチャンピオンと連携するメリットへと移りました。Bhargava氏は、担当者が決まっていないと、やり取りする相手がその都度変わるように感じることがあると説明しました。その結果、円滑で効果的なコミュニケーションを保つのが難しくなります。一方、各チームからチャンピオンを選ぶことで、Dun & Bradstreetではオンボーディング、修正戦略、継続的な関与が改善しました。

このプログラムは、組織全体にセキュリティ対策を広げるうえでも役立ちました。Bhargava氏によると、短期間でアプリケーションが10～20個から数千個へと増える場合、チャンピオンのネットワークが「アプリケーションセキュリティチームの延長」として機能する必要があります。

Shutterstockで文化を変えようと取り組むなか、Bobadilla氏は予想外の変化に気づきました。人々が自発的に問題やフィッシングメールを報告し、新しいアイデアや機能の開発に取り組む際にもセキュリティチームを加えるようになったのです。それまでは見られなかったこの変化は、セキュリティ意識の文化が進化したことを示していました。

セキュリティチャンピオンプログラムを始める方へのアドバイス

Dun & BradstreetとShutterstockは、組織で新たにセキュリティチャンピオンプログラムを始めるための有益なヒントを共有しました。

「小さく始めて、開発コミュニティのなかから、セキュリティに情熱や関心を持つ協力者を少なくとも何人か見つけましょう」とBhargava氏は話します。

さらに、「その人たちに何を達成してもらいたいのか、通常の開発業務にどれくらいの時間が必要なのかを明確にします。そこから、プログラムをより正式な形にしていけます」と続けます。

「初日からセキュリティオリエンテーションを行い、セキュリティチームを知ってもらうようにしています」とBobadilla氏は話します。

「セキュリティイベントを開発者だけに限定しないでください。社内の誰でも参加できるようにすれば、さまざまなチームの人がセキュリティを大切にしていることがわかるでしょう。そうした人々の参加が、会社をより良くしてくれます」と付け加えます。

セキュリティに対する責任を全員で担う

最後に、座談会の他の参加者もセキュリティチャンピオンプログラムの経験を共有しました。共通していたのは、チャンピオンプログラムによって、セキュリティを避けるのではなく、受け入れる意識の変化が生まれるという点です。また、開発者が安全な開発における自分の役割を担い始めることで、長期的には開発チームの自立にもつながります。最終的には、品質やパフォーマンスと同じように、セキュリティを開発者の重要なスキルセットの一部にすることが大切です。

セキュリティチャンピオンプログラムについて詳しくは、新しいホワイトペーパー「セキュリティチャンピオンプログラムの構築方法」をご覧ください。