「The Secure Developer」ポッドキャストを開始

開発プロセスにセキュリティをもっと組み込むべきだという点には、多くの人が同意するでしょう。開発のスピードが加速し、セキュリティ人材が不足しているうえ、脆弱性のほとんどは単なるバグであることを考えると、セキュリティは後から付け足すのではなく、開発プロセスに組み込むべきだというのは明らかです。では、そうするべきだとわかったところで……どうすれば実現できるのでしょうか？

この議論の一助となることを願い、新しいポッドキャスト「The Secure Developer」を始めることをお知らせできてうれしく思います。各エピソードではゲストを招き、自社の開発にセキュリティを組み込んだ経験や、役立つツール、実際の現場で見られる良いプラクティスと悪いプラクティスについて語っていただきます。このポッドキャストを通じて、開発者やAppSecチームがセキュリティ態勢を段階的に強化するための、より良い方法を紹介することが目標です。

このポッドキャストは、開発者向けツールを提供する企業を支援する素晴らしいプログラムHeavybitを通じて制作しています。Snykも最近参加したこのプログラムには、Stripe、PagerDuty、CircleCIなどが参加していました。ポッドキャストはiTunes、SoundCloud、またはHeavybitのポッドキャストページにあるリンクから購読できます。また、TwitterでTheSecureDevをフォローしてください。

今後登場するゲストの顔ぶれにわくわくすると同時に、恐縮する思いです。皆さんにこの対談を楽しんでいただけたらと思います。The Secure Developerの最初のエピソードを公開して以来、この番組はコミュニティやウェビナーの場、そして開発者がアプリケーションセキュリティについて学び、スキルを磨ける安心できる場所へと成長しました。ぜひThe Secure Developerのコミュニティにご参加ください。

配信済みの最初の2つのエピソードをご紹介します。

エピソード1：OptimizelyでAppSecを構築したKyle Randolph

最初のエピソードでは、Kyle Randolphが、ここ数年でOptimizelyにアプリケーションセキュリティのプラクティスをどのように構築したかを語ります。また、TwitterやAdobeでのAppSecの経験と、Optimizelyでの取り組みとの違いについても話します。

この対談で特に印象に残ったのは、AppSecを始めるためのアドバイスです。AppSecチームをエンジニアリングチームの近くに置き、信頼できるアドバイザーとして認識されるようにすること、開発中に行ったセキュリティ上のトレードオフを記録すること、エンジニアリングチームのセキュリティチャンピオンを称える方法など、非常に役立つヒントが満載です。

<< https://soundcloud.com/heavybit/the-secure-developer-ep-1-prioritizing-secure-development >>

エピソード2：Nodeのセキュリティについて語るGergely Nemeth

このエピソードでは、Gergely Nemethが、RisingStackでのコンサルティング業務にセキュリティを取り入れることと、自社のNode.js監視製品Traceにセキュリティを組み込むことを比較して語ります。

Gergelyとは、彼が執筆した素晴らしいブログ記事Node.js security checklistをもとに、Node.jsのセキュリティについても幅広く話しました。Nodeにおける正規表現サービス拒否（ReDoS）、脆弱なnpmパッケージ、そして攻撃ツリーを使って攻撃者の視点で考える方法を取り上げています。

The Secure Developer - Ep. #2, Making Security Requirementを聴く

今後のエピソード

今後も素晴らしいゲストをお迎えする予定です。継続的なパイプラインへのセキュリティの組み込みから、HTTPS、Capture The Flagコンテストの仕組みまで、幅広いテーマを取り上げます。エピソードを聞き逃さないよう、iTunes、SoundCloud、またはその他のサービスで購読してください。

番組へのゲスト出演にご興味がある方や、取り上げてほしいテーマがある方は、Twitterで@TheSecureDevまでご連絡ください。ぜひお楽しみください。そして、安全を保ちましょう！