.png)
ツールよりも文化が重要です。世界最高のスキャナーを導入しても、チームが「セキュリティ」という言葉を聞くたびにうんざりするようでは、何も定着しません。安全な開発文化とは、トップダウンの指示や終わりのないトレーニングセッションのことではありません。信頼、オーナーシップ、そして勢いが重要です。このセクションでは、誰もスピードを落とすことなく、また燃え尽きさせることなく、セキュリティが仕事の一部となる開発文化を構築するための実践的なガイドを提供します。セキュリティチャンピオンを見つける方法、セキュリティをチームスポーツにする方法、そして重要な成功を祝うことで士気を高く保つ方法を学びます。
プレースホルダー画像: 画像説明: 共有セキュリティダッシュボードを囲んで協力する開発チーム。チームメンバーの一人には「セキュリティチャンピオン」バッジがスポットライトで照らされている。
セキュリティチャンピオン：開発チームにおける秘密兵器
開発者を選ぶ方法（ヒント：常に最もシニアな開発者とは限りません）
優れたセキュリティチャンピオンは、必ずしも声が大きい人や「プリンシパル」という役職を持つ人ではありません。品質を重視し、コードレビューで質問をしたり、他の誰も気づかない問題を指摘したりする開発者を探しましょう。彼らは好奇心旺盛で、尊敬され、学ぶ意欲があります。全てを知っている必要はなく、危険信号を見つけて「これ、もう一度確認すべきでしょうか？」と尋ねることに十分な関心があれば良いのです。
開発者に権限を与える方法
チャンピオンを見つけたら、彼らを支援してください。学習する時間、リーダーシップを発揮する場、そして実際に役立つツールを提供しましょう。彼らにセキュアなデフォルト設定の共同所有を任せたり、新しいチームメンバーのオンボーディングを指導させたり、新しいツールの最初のテスターになってもらったりしましょう。彼らの仕事を認め、製品計画の初期段階から参加させてください。チャンピオンは、パートタイムのセキュリティ担当者のように扱われるのではなく、信頼されていると感じたときにこそ活躍します。
セキュリティを全員の仕事にする
セキュリティは独立したタスクではありません。それは優れたソフトウェアを構築する一部です。PRで認証ロジックをチェックすることを標準化しましょう。スプリント計画中に疑わしいAPIコールにフラグを立てることを標準化しましょう。セキュリティタスクを通常のチケットに組み込み、別のバックログに入れないようにしましょう。目標は、セキュリティを可視化し共有することです。これにより、何かおかしいと感じたときに「SecOpsに聞く」だけではなくなります。組み込まれるほど、それはより自然なものになります。
ポジティブな強化：セキュリティの成功を祝う
誰もインシデントレビューを繰り返したいとは思いません。しかし、セキュリティの成功を祝うことはどうでしょうか？それは文化的な変革です。誰かが早期にバグを指摘したり、本番環境に影響が出る前に高リスクのチケットをクローズしたりした際には、称賛の言葉を贈りましょう。スプリントデモにセキュリティへの貢献を含めましょう。社内向けの「脆弱性ハンター」リーダーボードを作成しましょう。ゲーミフィケーションの仕掛けは必要ありません。安全な作業は良い作業であり、評価されるということを明確にするだけです。
インサイト: 安全な開発文化は命令によって構築されるのではなく、勢いによって構築されます。チームがオーナーシップを感じ、影響を認識し、正しいことを行ったことで評価されるとき、安全な習慣はオーバーヘッドのように感じられなくなります。見せかけの指標に陥ることなく、その影響を測定する方法について話しましょう。
