開発者にセキュリティを教育し、トレーニングし、力を与える方法

開発者の皆さん、注目です！アプリケーションセキュリティに責任を持つ時が来ました。少し気が重く感じるかもしれませんが、心配はいりません。DevSecOpsを成功に導くためのリソースやツール、実践方法は数多くあります。この記事では、SnykのCEO、Guy Podjarnyがホストを務めるインタビュー形式のポッドキャスト、The Secure developerのエピソードをいくつかご紹介します。番組はすでに1年以上続いており、Guyは業界を代表する有識者に話を聞いてきました。ChefのCTO、Adam Jacob、DevSecConの創設者、Francois Raynaud、RedmonkのJames Governorなどが登場しています。

今では、開発者が新たなキープレイヤーであることは周知の事実です。開発者のニーズに目を向けず、彼らの意見にも耳を傾けない企業は、競合他社を追いかけることになるでしょう。では、業界全体として、あるいは個人として、開発者が力を発揮できるよう支援し、セキュリティに効果的に対処するための十分な知識と権限を与えるにはどうすればよいでしょうか。この問いに答えるため、ポッドキャストシリーズから、Guyがさまざまなセキュリティチームに話を聞き、実現方法を探ったエピソードをいくつか選びました。

開発者にセキュリティを担う力を

エピソード1：セキュアな開発の優先順位付け

「The Secure Developer」の初回エピソードでは、Optimizelyで最初に採用されたセキュリティ担当者で、プリンシパルセキュリティエンジニアを務めるKyle RandolphがGuyと対談します。KyleとGuyは、セキュリティチーム内に推進役を育てながら適切なセキュリティプラクティスを構築する方法や、エンジニアに近い立場でいることの重要性について話します。また、エンジニアリング組織でセキュリティを優先するという、ときに難しくても常に重要な課題についても取り上げます。Kyleは、Optimizely、Adobe、Twitterで働いた経験を語ります。

「エンジニアリングチームと密接に関わっていれば、何が開発されているか、エンジニアが何を考えているかが分かります。エンジニアに影響を与えやすくなりますし、向こうから相談に来てくれるようにもなります。」

Kyle Randolph

「本人が関心を持ち、情熱を感じていることなら、割り当てられた仕事よりもずっと生産的に取り組める可能性が高いです。」

Kyle Randolph

The Secure Developer - Ep. #1, Prioritizing Secure Developmentを聴く

エピソード11：PagerDutyのセキュリティを守る

PagerDutyのArup Chakrabarti、Kevin Babcock、Rich Adamsを迎え、セキュリティのビジョンである「正しいことを簡単にできるようにする」を、どのように実践しているかを語ります。セキュリティ自動化を高めるツールの構築、透明性の確保、開発者への権限委譲などがその取り組みです。必要なツールを選び、人々に何かを強制するのではなく、脆弱性がどのように露呈するかを理解できるセキュリティ体験を設計します。また、実際に壊してみる機会を設けることで、それを守りたいという強い意欲も生まれます。

「ルールの一覧を渡すのではなく、見せ方を変えました。『攻撃者はこうする』『パスワードはこうすれば破られる』と説明し、凝ったアニメーションで実演したところ、そのほうが皆の関心を引くことができました。」

Rich Adams

「チーム全体を巻き込む方法の一つが、当番制と振り分けです。特定の問題が発生したら、そのときの当番が問題を理解し、対処することになります。」

Kevin Babcock

「多くのセキュリティツールは、セキュリティ担当者やアナリストが大勢いることを暗黙の前提としています。」

Arup Chakrabarti

エピソード13：New Relicのセキュリティ

Guyは、New Relicの最高セキュリティ責任者であるShaun Gordonに話を聞きます。開発者としての経験を経て、どのようにセキュリティのキャリアに進んだのか、そしてNew Relicでセキュリティの役割がどのように進化してきたかを語ります。また、開発者の仕事の進め方に合わせてセキュリティプロセスを適応させるという同社の理念を紹介し、急速に拡大する組織を支えるための例外アラート、スコアカード、自動化の重要性を強調します。

「私は、何かを攻撃するのが好きな昔ながらのハッカーではありませんでした。正式にそうしたスキルを学んだこともありません。自然とこの分野に入り、最初から開発者、そして守る側としてセキュリティに取り組んできました。」

Shaun Gordon

「私のチームには、開発者の仕事の進め方に合わせて、セキュリティのやり方を変えていきたいという理念があります。」

Shaun Gordon

次にすべきこと

セキュアな開発者を目指したい、あるいは開発者がセキュリティに責任を持てるよう支援したいという関心をお持ちのことでしょう。ぜひ「The Secure Developer」ポッドキャストに登録して、新しいエピソードをお聴きください。また、既知のセキュリティ脆弱性や不適切なライセンスを効率よく見つけ、問題を修正するために必要なツールを開発者に提供したい方は、オープンソースプロジェクトを無制限かつ無料でテストできるSnykをご覧ください。