セキュアな開発者：セキュリティチャンピオン特集

The Secure Developer（TSD）ポッドキャストは、Snyk創業者のGuy Podjarnyがホストを務め、ツールからベストプラクティスまで、開発者のためのセキュリティを取り上げています。DevSecOpsの専門家へのインタビューを通じて、セキュアな開発に関する時事問題やトレンドについて議論しています。

最近は、セキュリティ文化の醸成やセキュリティチャンピオンの選出、セキュリティチームとチャンピオンの未来について、誰もが話題にしているようです。

セキュリティチャンピオンプログラムは、組織内の人々がセキュリティの大使・推進役となり、開発組織全体でセキュリティのベストプラクティスを広めることで、セキュリティに主体的に取り組めるようにします。

ただし、チャンピオンプログラムを成功させるには、まずセキュリティ文化を築く必要があります。

ここでは、今日のセキュリティ業界を代表するDev Akhwae、Siren Hofvander、Yashvier Kosaraju、Brendan Dibbell、Geoff Kershnerが出演したTSDのエピソード5本を振り返り、以下のテーマについてゲストの見解をご紹介します。

1. セキュリティ文化の醸成

2. セキュリティチャンピオンの選出と定義

3. セキュリティチームとチャンピオンの未来

1. セキュリティ文化の醸成

「セキュリティと会社の他の部門、そして……エンジニアリングとの文化的な関係が、セキュリティを実現の支援役、前向きな力として、これからも深まっていくでしょう。そこに期待しています。」

- Dev Akhwae、エピソード88

セキュリティ文化を築くとは、ソフトウェアの開発とデプロイに不可欠な要素としてセキュリティを優先する、価値観や信念、実践を組織内で共有することです。

Figmaのセキュリティ責任者であるDev Akhaweは、エピソード88で、比較的小規模なFigmaでは、セキュリティチームが組織全体の信頼を得ることを目指し、オープンに業務を進める文化があると説明しています。AkhaweとFigmaは、チームが組織内のさまざまな部門に触れる機会を設け、部門を越えた交流をより良い関係づくりに生かすことに価値を見いだしています。その結果、セキュリティチームと開発者の連携が強まりました。

同様に、CybercomのSiren Hofvanderはエピソード34で、「セキュリティチームが失敗するのは、すでに手一杯かもしれない開発チームに、さらにセキュリティを押し付けようとするからです」と述べています。

Hofvanderによると、セキュリティチームは、開発チームがすでにセキュリティに取り組んでいても、それが見過ごされていることに気づかない場合がよくあります。開発者は、期限と予算を守るという大きなプレッシャーにさらされています。セキュリティ要件を追加すれば、負担が大幅に増え、開発の遅延やコスト増、全体的な生産性の低下につながるおそれがあります。

このエピソードでGuyが指摘するように、結局のところ大切なのは「開発者の味方になること」です。

セキュリティ対策を増やすのではなく、セキュリティチームは開発チームと緊密に連携し、ワークフローやプロセスを理解して、潜在的なリスクを特定する必要があります。そして、開発を妨げることなく、そのプロセスにセキュリティ対策を組み込むべきです。

AkhwaeやHofvanderと同様に、Snykも、セキュリティ文化の醸成にはセキュリティチームとエンジニアリングチームの間にオープンで前向きな関係を築くことが欠かせないと考えています。なぜなら、前向きなセキュリティ文化を持つ組織は、セキュリティ負債を減らしながら、レジリエンスの高い製品を構築できるからです。

専門家の意見は一致しています。セキュリティ文化が根づいたら、セキュリティチャンピオンプログラムを導入することで、組織全体にその文化を効果的に広げられます。

2. セキュリティチャンピオンの選出と定義

「私たちは、ある種のパートナーシップとして捉えています……セキュリティが障害になることは望んでいません。エンジニアリングと協力し……一緒に判断するパートナーシップです。セキュリティチャンピオンプログラムは、それを大規模に実現するのに役立っています。」

- Yashvier Kosaraju、エピソード66

セキュリティチャンピオンプログラムは、セキュリティチームと開発チームの間をつなぎます。

どちらのチームも、ビジネスの要求に応えるスピードで、安全なアプリケーションを提供しようとしています。しかし従来、セキュリティ対策は後付けでSDLCに組み込まれてきたため、セキュリティゲートや開発者による手戻り、フラストレーション、製品提供全体の遅れを招いていました。

セキュリティチャンピオンは、まさにこの課題を解決します。セキュリティに関心のある開発者がチャンピオンとなり、従来は分断されていた2つのチームをつなぐ役割を担います。

セキュリティチャンピオンプログラムが強固なセキュリティ文化の促進につながるという点では、誰もが同意しています。一方で、チャンピオンとは誰なのか、何をする人なのかについて、組織ごとに体制や選出方法、定義が異なるのが実情です。セキュリティチャンピオンプログラムにはそれぞれの形があります。

たとえば、エピソード79でToastのアプリケーションセキュリティエンジニア、Brendan Dibbellは、「私たちがセキュリティチャンピオンと呼ぶのは、日々のセキュリティ業務の一部を実際に引き受ける責任を持つ人です」と話しています。

一方、Yashvier Kosarajuは（エピソード66）、「エンジニアリングチームごとに専任のセキュリティチャンピオンとなるエンジニアがいて、さらに専任のセキュリティパートナーとなるセキュリティエンジニアが1人います。セキュリティパートナーとチャンピオンは定期的に会い、開発チームとセキュリティチームの取り組みや、必要なレビュー、セキュリティチームが提供できる支援について話し合います。安全な開発方法を検討し、堅牢で安全なソリューションを構築できるようにするのです」と定義しています。

Medalliaの最高セキュリティ責任者、Geoff Kershnerは、エピソード74ではチャンピオンを次のように定義しています。「エンジニアリングチームと開発チームは、製品を軸に連携しています。私たちのプラットフォームには何十もの製品があります……レポート、API、モバイルなど、それぞれの領域にチームがあるなら、その各チームに、プログラムを通じて協力し、成長できるセキュリティチャンピオンがいます。」

ここからわかるのは、セキュリティチャンピオンプログラムが、組織のセキュリティ文化を強化する手段として広く受け入れられている一方で、チャンピオンの定義や責任について統一されたものはないということです。組織の構造に大きく左右されます。

専門家の誰もが同意するのは、セキュリティチャンピオンは専任のセキュリティ専門家ではないという点です。チームの開発者の中から、セキュリティに関心を持ち、セキュリティの原則を深く理解したいと考え、さらにチームや組織のセキュリティ施策を率先して推進する意欲のある人が担います。

どのような定義や体制を採用するにしても、セキュリティチャンピオンプログラムは、組織内のセキュリティ文化を支え、強化し、ソフトウェア開発プロセスにセキュリティを組み込むうえで重要な役割を果たします。

3. セキュリティチームとチャンピオンの未来

「……少なくともそう願っていますが、専任のセキュリティエンジニアの必要性は減っていくでしょう。開発者やチームが、自分たちでより高度な脅威モデリングやセキュリティテストを行い、結果を簡単に解釈できるようになります。また、セキュリティ更新のマージリクエストを作成するなど、セキュリティプロセスを自ら実行し、そうした作業の多くを担えるようになるでしょう。」

- Nick Vinson、エピソード84

Guyはゲストに、「5年後を想像してみてください……未来のあなたの仕事は、今の仕事と比べて何が一番変わっていると思いますか？」とよく問いかけます。

言い換えれば、セキュリティチームとチャンピオンの未来はどうなるのでしょうか。

Vinsonが目指すのは、開発者がセキュリティの実践に習熟し、専任のセキュリティエンジニアの必要性が減ることです。セキュリティ業務を自ら担う能力が高まれば、開発者やチームはセキュリティ更新を容易に取り入れ、専任の担当者への依存を減らせます。

同様にKosarajuは、セキュリティとチャンピオンの未来は、開発者のスキル向上にあると考えています。Kosarajuによると、Twilioのセキュリティチャンピオンプログラムには、難易度別にレッド、ブルー、パープルのカテゴリーに分かれたチャレンジを含む、上級者向けのプログラムがあります。セキュリティに関する知識とスキルを高めることが目的です。参加者はチャレンジを完了すると特典を得られ、プログラム内でより大きな責任を担います。知識とスキルを高めたうえで、十分な情報に基づいてセキュリティの判断を下せるよう、一人ひとりを支援するプログラムです。

チャンピオンプログラムを立ち上げれば、製品と組織に役立つだけでなく、エンジニアのスキルの幅も広がります。まさに双方にメリットがあります。

まとめ：重要なポイント

今回取り上げた5つのエピソードでは、今日のセキュリティと、セキュリティおよびセキュリティチャンピオンの未来に関する3つの重要なポイントが強調されています。

1. 開発組織全体でセキュリティ文化を築くことが何より重要です。それを効果的に実現するには、組織内のさまざまな部門がより緊密に連携する必要があります。

2. セキュリティチャンピオンとは、好奇心と情熱を持ち、率先して行動する開発者です。スキルを高める機会を提供すれば、開発者本人だけでなく、コードやビジネスの収益にも良い影響をもたらします。

3. アプリケーションセキュリティの未来を担うのは、開発者と開発者のセキュリティです。

セキュリティチャンピオンプログラムの構築について詳しくご覧ください。