すべての開発者が将来の雇用主に尋ねるべき100万ドルの質問

卒業生であろうとベテランであろうと、すべての開発者が尋ねるべき質問があります。そして、その答えは重要です。アジャイルの世界では、ソフトウェアエンジニアリングでどれだけ成功するか、また次の雇用主にとって自分がどれほど価値があるかに直接影響するため、その重要性はさらに高まっています。

100万ドルの質問です。実際、それは数百万ドルの質問です！

私が安全にコーディングできるように協力してくれますか？

現在、データ漏えいの平均コストは360万米ドルにのぼります。今年、あなたの会社が破産される確率は4分の1にも上ります。こうした事実を踏まえると、開発者が、セキュア・コーディングと自身のDNAに組み込まれたセキュリティに関する能力をもって大学を卒業していないという不満を多くの人が共有しています。

なぜ?ソフトウェアエンジニアリングはまだ比較的若い職業です。コードをすばやく作成し、エレガントで機能的なものにする方法を人々に教えることに重点が置かれてきましたが、コードを安全にすることにはほとんど重点が置かれていませんでした。方法論、テクノロジー、言語、機会の変化のペースは、これらの主要なスキルギャップを悪化させるだけです。

学術システムをすぐに変えるつもりはないので、開発者も企業も、開発者が仕事で安全なコーディングスキルを学ぶ必要があることを期待する必要があります。職業によっては、間違いを犯すことで学べるものもあれば、選択肢にないものもあります。サイバーセキュリティについても同様です。

実際のところ、実地での開発者向けセキュリティトレーニングもあまりうまくいっていません。世界の主要なセキュリティ侵害のほとんどは、ハッカーがコンピュータネットワーク上で権限を取得し、貴重なデータにアクセスして収集することを可能にするコーディングエラーによるものです。 2017年ベライゾンのデータ漏えい調査報告書 (DBIR)によると、すべての侵害の30％がWebアプリケーションのセキュリティの弱点によって直接引き起こされており、この結論は2013年以降のDBIRレポートでも一貫しています。

ザの 2017 年 DevSecOps グローバルスキル調査 2017年8月にリリースされ、すでにわかっていることが確認されました。DevOpsプロフェッショナルの65％が、ITに参入する際にはDevSecOpsの知識を持つことが非常に重要だと考えていますが、70％は、今日のDevSecOpsの世界で成功するために必要なトレーニングを正式な教育を通じて受けていないと感じています。

調査対象の採用マネージャーの 40% 近くが、最も見つけにくい従業員は、セキュリティテストに関する十分な知識を持つ多目的ハイエンド開発者であると報告しています。回答者の 70% が、受けたセキュリティ教育は現在の職務には不十分だと回答しています。実際、機会がまったく与えられていると答えたのは 4% 未満でした。

私がこれを直接目にしたのは、プロのホワイトハットハッカーの複数のチームと10年近く働いていたときです。私たちは悲劇的な頻度で大企業や新興企業、政府機関に侵入しましたが、いつも同じ弱点に遭遇していました。

そのため、開発者は採用時に声を上げる必要があります。将来の雇用主が開発者のセキュリティトレーニングを真剣に受け止めていない場合は、どのような会社に入社を検討しているのかを考える必要があります。

次に尋ねるべき質問は、彼らがどのようにそれを配信する予定かということです。実践的でインタラクティブなものでしょうか？スライドウェア、ビデオ、クリック可能なアニメーション、または抽象的なディスカッションを使用した脆弱性に関する開発者向けセキュリティトレーニングは、コーディングに直接役立つことはまずありません。常に最新の脆弱性を把握できるようにしてくれるでしょうか？学べるセキュリティギルドやコミュニティはありますか？助けが必要なときに頼れるセキュリティ専門家はいますか？

安全なコーディングスキルを身につけるには、特定のコーディングフレームワークでの実践的な課題を通じて継続的に学習し、複数のシナリオでさまざまな脆弱性に直面する必要があります。SQL インジェクションについては、1 つの例だけでは学ぶことはできません。このような危険なコーディングパターンを認識するには、さまざまなタイプの複数の例に触れる必要があります。

あるお客様は、開発者に2か月間、毎日 1 つのチャレンジ (5 分) をプレイするように求めていました。トレーニング期間の前後にスキルをテストしたところ、数百人の開発者のグループよりもセキュアコーディング能力が 60% 向上したことが確認されました。つまり、ライフサイクルの後半でセキュリティバグの発見と修正に費やすリソースが減り、長期的には大幅な節約になるということです。つまり、ハッカーがコードを利用して会社のデータを危険にさらすことはありません。

IDCの調査によると、2014年には世界中に1,100万人のプロ開発者がいました。Burning Glass は 2015 年に、コーディングスキルを必要とする職種が 700 万件にも上り、プログラミング関連の仕事が市場よりも平均 12% 速く増加していることを発見しました。

世の中にはたくさんのソフトウェアの仕事があります。ですから、自分のセキュリティ、あなたのセキュリティ、そして顧客のセキュリティに気を配ることに全力を注いでいる雇用主を選びましょう。ひいては、あなたに投資してくれる企業を選びましょう。

卒業生であろうとベテランであろうと、すべての開発者が尋ねるべき質問があります。そして、その答えは重要です。アジャイルの世界では、ソフトウェアエンジニアリングでどれだけ成功するか、また次の雇用主にとって自分がどれほど価値があるかに直接影響するため、その重要性はさらに高まっています。

100万ドルの質問です。実際、それは数百万ドルの質問です！

私が安全にコーディングできるように協力してくれますか？