企業のセキュリティ・バイ・デザイン・イニシアティブの有意義な成功を促す

CISAを目の当たりにできて心強かったです セキュア・バイ・デザイン 米国、オーストラリア、ニュージーランド、カナダ、シンガポール、日本、ドイツ、英国が同様のガイドラインをより広範なサイバーセキュリティ戦略に組み込むことを約束し、これらの国の多くが当初の勧告にも貢献しているため、（SBD）運動は世界中で勢いを増しています。

2024年4月以降、以下を含む200社以上の企業が セキュア・コード・ウォリアー、署名しました セキュア・バイ・デザイン・プレッジこれは、より高いソフトウェア品質とセキュリティ基準に対する業界の幅広い取り組みを示しています。これらのガイドラインは、ソフトウェア開発における大きな文化的変化に対して初めて世界政府の支援を受けたサイバーセキュリティリーダーにとって、決定的な瞬間であると考えています。これらの勧告は、米国政府に直接販売するソフトウェアベンダー以外ではまだ義務付けられていませんが、これは単なる未来ではなく、脅威アクターとの戦いを始める絶好の機会だと思います。ガイドラインの中心となるのは、撲滅に向けた取り組みです。 カテゴリー 脆弱性が多く、この目標に業界全体で注力することで、デジタルセーフティに数十年で最も大きなプラスの影響を与えられる可能性があります。

私たちはこの動きが重要だと考えており、最新の研究論文は セキュリティスキルのベンチマーキング:企業におけるセキュリティ・バイ・デザインの合理化 これは、企業レベルでの実際のセキュリティ・バイ・デザインの取り組みを詳細に分析し、データ主導の調査結果に基づいてベストプラクティスのアプローチを導き出した結果です。

組織のセキュリティ・バイ・デザインへの取り組みのROIの測定

長年確立されてきたソフトウェア開発慣行の見直しは、決して簡単なことではありません。CISOは、セキュリティプログラム活動の投資収益率（ROI）とビジネス価値を個人レベルと企業レベルの両方で証明しようとするときにしばしば課題に直面します。CISOの多くは、予算削減に対する不満の高まりと、新しいサイバーイニシアチブに対する経営幹部の賛同の欠如を表明しています。しかし、データに裏打ちされた提案が大きな違いを生むでしょう。

近年、組織が業界標準にどのように照らし合わせているかを評価するためのスキルベンチマークがないことが大きな課題となっています。そのため、適切な分野に影響を与え、開発コホートの継続的な改善を促進するようなセキュリティプログラムを考案して実装することが非常に困難になっています。これは、ソフトウェア・セキュリティ・プラクティスを成功させるための重要な要素です。

Secure-by-Designの取り組みを成功させる鍵は、開発者にセキュアなコードを確保するためのスキルを与えるだけでなく、それらのスキルが整っていることを規制当局に保証することです。そこで、開発者チームの準備状況を分析することにしました。結果は意外かもしれません。

SBDイニシアチブを加速させようとしている企業がトラストスコアを活用する方法

どこから始めて、どこに向かう必要があるのかをしっかり把握していなければ、効率的に改善することは事実上不可能です。しかし、何百もの企業顧客が効果的に活用しています。 SCW トラストスコア—開発者チームのセキュリティ能力を定量化するグローバルベンチマーク—これらの有用で詳細なデータポイントを提供します。これらの知見は、Secure By-Designイニシアチブの成功につながる、非常に効果的な開発者主導のセキュリティプログラムを形作ります。

ホワイトペーパーで明らかになった分析によると、重要インフラ業界のトップ企業が、開発者がSBDイニシアチブを進めるための準備を進めていることが分かりました。また、これらの業界の開発者チームは平均的なセキュリティ体制をとっていることもわかりました。

Secure Code Warriorによる重要インフラ業界における開発者のスキルアップの分析は、世界中の600の企業顧客と25万人以上のアクティブな開発者から集められた2,000万を超えるデータポイントからの洞察に基づいています。分析の結果、次のことがわかりました。

• 現在、開発者中心のSBDスキルアップイニシアチブに携わっている開発者の総数は、全世界の開発者の4％未満です。
• 金融サービス業界のトラストスコアは336と最も高かった。
• 大規模なセキュリティ・バイ・デザインのスキルアップの取り組みのほとんどは成功していますが、小規模な取り組みは散在する傾向があります。ただし、権限を与えれば、測定可能な投資収益率 (ROI) をより早く達成できることが示されています。
• スキルアップの取り組みがしっかりと実施されていれば、開発者がアプリケーションにもたらすリスクはかなり少なくなります。分析の結果、大規模なスキルアップイニシアチブ (1 社で 7000 人以上の開発者) に参加している開発者は、予測どおり脆弱性を 47～ 53% 削減できることがわかりました。

解決策 | 結論

SCW Trust Score は、組織内の特定の領域を包括的に掘り下げることを可能にする、あらゆるセキュリティリーダーの武器となる強力なツールです。レポートは言語、チーム、またはカテゴリ別にフィルタリングできるため、カスタマイズされたレポートを作成できます。これにより、企業は開発者やチームの特定のニーズに対応し、追加のトレーニングやコーチングが必要な分野を特定できます。結局のところ、セキュリティは終わりのない取り組みです。パフォーマンスを効果的にベンチマークすることは、継続的な改善の機会を特定するのに役立ちます。

ソフトウェアの開発と展開が加速し、サイバー脅威の脅威がかつてないほど深刻化し、規制当局がますます厳しくなっていることと相まって、サイバーセキュリティは最優先事項となっています。組織がまだ取り組んでいないとしても、企業全体でセキュリティ第一の文化を築くことを優先する必要があります。