セキュアなソフトウェア開発の実践を根付かせるための専門家からの3つのアドバイス

DevSecOps、つまりDevOpsプロセスにセキュリティを組み込むことの重要性は、よく耳にします。しかし、多くのセキュリティ担当者が知っているように、実際にはそう簡単ではありません。セキュアなソフトウェア開発の実践を根付かせるには、さまざまな意見や優先事項、個性を持つ開発者と協力する必要があります。そして、人が関わるプロセスはどれも複雑です。

では、今日のセキュリティチームは、どのようにこうした課題を乗り越え、セキュアなソフトウェア開発の実践を実現しているのでしょうか。Snykは、その答えを探るため、革新的な取り組みで知られるセキュリティリーダーたちに話を聞きました。開発チームにセキュリティを浸透させるための重要なポイントをご紹介します。

共感から始める

共感は、双方にメリットのあるセキュリティの実践の土台となります。PearsonのDevSecOpsリード、Nicholas Vinson氏は、開発チームが「セキュリティの価値に共感できなければ、機能開発よりもセキュリティを優先する動機はほとんど生まれません」と説明しています。

セキュアな開発の実践に取り組む意欲を、どうすれば引き出せるのでしょうか。Mandiantのシニアバイスプレジデント兼最高セキュリティ責任者であるTim Crothers氏は、「セキュリティはパートナーシップでなければなりません。セキュリティ上の失敗が起こる根本的な理由の多くは、支援する相手と真に協力するのではなく、指示を押し付けてしまうことです」と述べています。

また、Mandiantの成功の鍵は「エンジニアリングチームが好む実践方法を理解すること」だったとも強調しました。「どのようなパターンがあるのかを把握し、制御ではなくガードレールを設けるために連携します。端的に言えば、一貫して取り組むべきなのはギャップを探すことです。プロセスのギャップ、そして私たちの［連携］におけるギャップです。」

セキュリティチームは、謙虚な姿勢でこのプロセスに臨み、開発チームが抱える仕事はセキュリティだけではないことを忘れてはなりません。Netflixのセキュリティ担当バイスプレジデントであるJason Chan氏は、セキュリティ担当者は「開発チームにはほかにも多くの責任があることを認識しなければなりません。機能や製品を構築し、パフォーマンスや信頼性にも気を配る必要があります。セキュリティへの参加をできるだけ簡単にしたいのです」と説明しています。

適切なサポートの提供に注力する

開発者の日々の業務への取り組み方を理解するだけでなく、セキュリティチームは適切なレベルのサポートを提供する必要があります。

Vinson氏は、Pearsonチームの成功の要因として、経営陣からのサポートを挙げています。「最初から、セキュリティの必要性が理解されていました。実装にあたっては、ソフトウェアエンジニアリング部門とそのリーダーたちに頼ることになります。」

さらに、セキュアなソフトウェア開発の実践を支えるうえで、自動化も重要です。Sendbirdのセキュリティ、コンプライアンス、IT担当バイスプレジデントであるYashvier Kosaraju氏は、自社で自動化が大きな効果をもたらしたと語ります。セキュリティ自動化の取り組みをひっそりと告知なしにリリースした後でも、Sendbirdでは「これまでに作成したPRの約65%がマージされ、クローズされました。開発者に何も連絡していなかったことを考えると、かなりの数字です。誰もが正しいことをしたいと思っていても、その時間がないのかもしれません。だから、できるだけ簡単にすれば、正しいことを実行してくれるのです。」

責任を共有する意識を育てる

インタビューに応じた多くの方々は、意識を変えることで成功を収めていました。開発者自身が、セキュアなソフトウェア開発の実践を変える存在だと自覚するようになったのです。セキュリティの専門家たちから、そのための方法をいくつか教えてもらいました。

VerkadaのCISOであるKyle Randolph氏は、称賛によって責任の共有を促しています。「『Security Hero』と書かれたTシャツを配っています。限定感があるため、セキュリティへの貢献のために一段と努力し、期待以上の成果を出そうという気持ちになります。たとえば、クロスサイトスクリプティングをなくしたり、チームが使うフレームワークに対策を組み込んだりした場合は、『Security Hero』のTシャツを贈るにふさわしいでしょう。そして、会社全体の前で称賛されるのです。」

Bill.comのバイスプレジデント兼CISOであるRinki Sethi氏は、開発者やほかのセキュリティ関係者に責任を持ってもらうため、正式なトレーニングと説明責任の仕組みを整えることを提案しています。「担当者が責任を持つスコアカードを作成し、製品や機能を適切に保護するための取り組みを実際に示しています。必要に応じてエンジニアがセキュリティ部門と話し合える体制を設け、最新かつ最良のトレーニングも提供しています。」

そしてもちろん、自動化の重要性を改めて強調する必要があります。Intel Products Assurance and Security Tools Teamのセキュリティアーキテクト兼ディレクターであるRyan Ware氏は、次のように説明しています。「コードに問題がある場合、できるだけ早い段階で、開発者に自動的に知らせることが重要です。コードをチェックインする時点で知らせれば、その場で問題を理解できます。あるいは、コードを書いているときに、IDEですぐ問題を検出して知らせるツールを使う方法もあります。」

2023年は、あなたの組織にとって開発者セキュリティの年になるでしょうか？

こうした組織の成功事例をご自身の状況と比較する際は、セキュアなソフトウェア開発の実践を、組織に既存のプロセスやワークフローに結び付ける必要があることを忘れないでください。状況はそれぞれ異なります。ビジネスの特徴を理解し、それを踏まえて最適な計画を立てることが大切です。

今年、セキュアなソフトウェア開発の実践を優先事項としているなら、ホワイトペーパー「CISO向け開発者セキュリティ浸透ガイド」をご覧ください。Fortune 500企業のセキュリティ専門家によるヒントやノウハウに加え、Snykの専門家チームによる実践的なアドバイスをご紹介しています。