開発者のセキュリティを向上させる7つのステップ

共感、つまり相手の気持ちを理解する力は、セキュリティを開発者の世界にうまく取り入れるための秘訣かもしれません。Snykの共同創業者兼プレジデントであるGuy Podjarnyがホストを務めるポッドキャストThe Secure Developerでは、ゲストたちがインタビューのたびに、共感と理解、そして行動を優先する姿勢こそが、開発者ファーストのセキュリティ文化を実現するうえで最も重要だと語っています。

Guyが聞いたアドバイスをまとめると、開発者ファーストのセキュリティへの移行を円滑に進め、改善するために企業が実践できる7つの取り組みになります。

1. 現場に足を運ぶ

セキュリティと開発を真に結び付けるには、双方が積極的に関わり続けることが重要です。関わりを深めることで共感と理解が生まれるだけでなく、文化を変えるうえで欠かせない関係づくりにもつながると、Nikeの「Code Doctor」でありDeveloper Advocateを務めるJet Andersonは話します。Security Education With The Code Doctor (ep. 98)では、開発チームの朝会やコミュニティのミートアップに参加するよう努めている理由を説明しました。「コミュニティのミートアップに参加して、彼らが関心を持っていることなどについて話します。開発者と出会うには、そういう場がいいと思います。ただ、文化を変える必要もありますよね。セキュリティに関心のある開発者を見つけるには、開発者の視点を持つセキュリティ専門家が必要です」とJetは話します。

CiscoのSecurity and Trust部門でSecurity Architectを務めるAmanda Honea-Friasは、あらゆる業務で共感を実践するよう心がけています。Security In Small And Big Organizations: The Hyphen Between Security And Development (ep. 87)では、開発者と時間をかけて向き合うことがなぜ大切なのかをGuyに語りました。「直接つながること、ランチ＆ラーニングやオフィスアワーを開くこと、彼らの職場で話をすること……そうして関係を築くことです。コーヒーに誘うなど、セキュリティを開発から切り離すのではなく、対等な仲間として接することです」。そうした取り組みは、必ず大きな成果につながります。

2. 開発にセキュリティを組み込む

TwilioのProduct Security TeamのManagerであるYashvier Kosarajuは、Level Up Your Security Champions (ep. 66)で、開発をセキュリティ側に引き寄せるのではなく、セキュリティを開発に持ち込むことが大切だとGuyに語りました。「特定のスキルセットよりも、セキュリティへの情熱を重視します……コードを書くために必要な、より幅広い要件です。本番レベルのコードを書ける必要はありませんが……採用で主に重視するのは、開発者と協力するための共感力です。要件を並べて達成させるのではなく、開発者と連携できる人を求めています。技術スキルは後から伸ばせますが、共感力を後から身につけるのは難しい。私にとっては、そこが最優先です」。

Datadogでも同様の戦略を取っていると、Product SecurityのDirectorであるDouglas DePerryはPrioritizing The Communication-Factor In Security (ep. 52)で語っています。「文化はDatadogの非常に重要な要素です。仕事の進め方や、互いへの接し方、協力の仕方に表れています」。その文化を育むため、Douglasはセキュリティの専門家を開発チームに参加させ、共通理解を築いています。「チームの仕事の進め方をより深く理解できますし、バグを修正して価値を提供したり、質問やアイデアを気軽に話せる人がそばにいたりすることで、チームを支援できます」。

3. チャンピオンを見つける

Security Championプログラムのメリットはよく知られていますが、The Future Of Security Teams And Champions (ep. 84)で、PearsonのDevSecOps leadであるNick Vinsonは、内容を新鮮で興味深いものに保つことが大切だとGuyに話しました。「Security Championプログラムで定期的なトレーニングや攻撃のデモを実施するようになってから、参加者の意欲が大きく高まり、開発者が自らSecurity Championに名乗り出るようにもなりました」とNickは説明します。Security Championが増えるほど、Nickのチームは開発現場をより深く理解できます。「Security Championが増えるほど、開発者からのフィードバックも増えます。それが、提供するセキュリティ機能やテスト機能の改善に役立っています」。

4. コードを理解する

InVisionのSecurity EngineerであるSara Dunnackは、Optimizing Team Communication (ep. 41)で、セキュリティ担当者は保護対象のコードベースを理解する必要があると語っています。そうでなければ、信頼を得ることはできないとGuyに話しました。「私たちのチームは全員、開発者ファーストでセキュリティはその次です。もちろん強固なセキュリティは必要ですが、コードに触れなければなりません。特にシステム管理者の経験がある人は、見落としがちな点だと思います。コードに踏み込んで開発者を本当に支援し、具体的な行を示せる必要があります。『この行ではこうする必要があります』というように」。

5. 焦らず取り組む

「私たち対彼らではなく、私たちみんなで取り組むのです」。CybercomのCSOであるSiren Hofvanderは、Positive Security (ep. 34)でGuyにそう語っています。セキュリティは「事情を知る人」だけのものだという考えに強く反対し、共感が企業のセキュリティ体制を大きく改善すると強調しています。セキュリティチームの役割は、開発者の隣で一緒に行動し、時間がかかることを受け入れることだと彼女は言います。「支援する立場だからこそ、何度でも現場に足を運び続ける必要があります。開発チームが警戒を解き、私たちを受け入れるまでに3か月かかるかもしれません。でも、いったん信頼関係が築ければ、そのチームと何年にもわたって良好な関係を続けられます」。

6. 相手の立場に合わせる

NikeのCode DoctorであるJetも、セキュリティと開発者のコミュニケーションは、対等な立場で始まり、対等な立場で終わるべきだと強く主張しています。「彼らの知識を深めることや、求めている情報を深い技術レベルで提供することに本気で取り組まなければ、価値を提供できません」。

7. 成果を測定する

文化づくりの成功や失敗は本当に測定できるのでしょうか。CiscoのAmanda Honea-Friasは、はっきりと「できる」と答えます。彼女は明確な計画を立てて共感と文化の醸成に取り組んでおり、当然ながら進捗を評価する必要があります。また、アンケートは測定に使えるだけでなく、継続してフィードバックを得る方法にもなるとGuyに話しています。「基本的には、対話の窓口を開いておくことに注力しています。アンケートの送付もその一つです。どんな方法でも、開発者が私たちの望むことではなく、何を望んでいるのかについてフィードバックを得たり、直接話したりできます」。

ポッドキャストを聴ける The Secure Developer 各種サービスでお聴きください。