The Secure Developerポッドキャスト全100回から学ぶ、セキュリティに関する最高のアドバイス

ソフトウェアをより速く安全に届けるには、テクノロジー、文化、プロセスのすべてを変える必要があります。取り組むべきことはたくさんありますが、一人で進める必要はありません。

The Secure Developerは、Snyk創業者のGuy Podjarnyがホストを務めるポッドキャストです。Nike、LinkedIn、Twitter、United Healthcareといった大企業から、OptimizelyやToastのようなニッチな企業まで、幅広い企業のセキュリティ専門家との示唆に富む対話が、ついに100回に達しました。Guyが投げかける質問から、リーダーやチームがセキュリティをよりスムーズに取り入れるための洞察が引き出されます。

「開発者やAppSecチームが、セキュリティ態勢を一歩ずつ向上させるための、より良い方法を知る手助けをしたいと思い、このポッドキャストを始めました」とGuyは語ります。「学びたいという意欲を持ち、ポッドキャストを聴いてくれる開発者やセキュリティリーダーのコミュニティが大きくなっていることを、本当に光栄に思います。」

第100回：セキュリティに関する最高のアドバイスでは、ゲストたちが語ってきた、実績に裏打ちされたアドバイスに焦点を当てています。誰もがセキュリティの腕を磨くのに役立つこと間違いなしです。ここでは、その一部をご紹介します。

実際の脅威に注力する

第59回では、PivotalのField CISOであるSteve Whiteが、脅威を考える際に視野を失わないことの重要性をリスナーに改めて伝えました。「隣人が思いついた実験室レベルのプロジェクトではなく、自社にとって実際の脅威に注力してください。組織がそうした脅威への対処に集中できるようにしましょう。セキュリティチームにとって、これが何よりも大切なアドバイスです。想像上の脅威すべてではなく、現実の脅威に注力することです」と彼は語ります。

また、IntuitのDevSecOpsリーダーであるShannon Lietzは、第58回で好奇心の力も忘れてはいけないと提案しました。「セキュリティを向上させたいと考えている人に、まず自分に問いかけてほしいのは、『自分のアプリケーションには何人の敵対者がいるのか？』ということです。この問いへの好奇心が、より良い方向へ導いてくれます。この問いを解決しようとする目標を持てば、答えを見つける助けとなる人々に貢献したり、協力したりできるようになると思います。」

一度にすべてを変えようとしない

セキュリティを適切に実現することは非常に重要なため、つい手を広げすぎてしまいがちです。ToastのStaff Product Security EngineerであるBrendan Dibbellは、第79回でGuyにそう説明しました。しかし、少ないほうが良い場合もあります。「二つのことに注力するとよいでしょう。まず、他の人がセキュリティの責任を担えるよう支援し、自分が担当する範囲を減らすこと。そして、セキュリティを一歩ずつ進めることです」とBrendanは提案します。「一晩で改善する必要はありません。小さな一歩から始めれば大丈夫です。」

組織の他のメンバーと連携する

今日の世界では、セキュリティチームが象牙の塔にいるような印象を与えてはいけません。PinterestのCSOであるAndy Steingrueblは、第77回でGuyに、皆が協力して取り組むべき時だと語りました。「さまざまな問題を解決する方法はいくつもあります。レベルアップに本当に必要なのは、技術的な専門知識だけでなく、人間的な側面です。専門知識も重要ですが、最終的に大切なのは、人々が実際に導入できる現実的な解決策を見つけることです。作ったものを誰にも使ってもらえないのでは意味がありません。何かを作っても誰も使わないのは、そもそも作らなかったのと同じです」とAndyは語ります。

自動化の力

アプリケーションセキュリティには常に多くの要素が関わるため、プロセスを効率化できる機会があれば活用しましょう。そう語ったのは、The Secure Developerの記念すべき初回ゲストであるOptimizelyのPrincipal Security Engineer、Kyle Randolphです。Kyleは第80回でも同じ考えを改めて示しました。「エンジニアの判断に頼らずにセキュリティを組み込めるなら、それは素晴らしいことです。ツールに投資し、セキュリティをコンポーネント化することは、まさに価値ある取り組みです。人手を増やさなくても、継続的にその恩恵を受けられるからです」と彼は説明します。

ポッドキャストでは、ほかにもたくさんの話題を取り上げています。ぜひご自身でお聴きください。オンラインで聴くか、ポッドキャストをお聴きのプラットフォームでThe Secure Developerを購読してください。