ベスト・オブ・ザ・ブランチ:AppSecのリーダーが知恵を語る

アプリケーション・セキュリティ・プロフェッショナルとしてのキャリアを通じて、幸運にも業界で最も素晴らしい人材と出会い、ネットワークを築いてきました。それぞれの才能は、世界中で増え続けるコード・ウェブの保護と強化に貢献しています。私の旅のこの段階で (知識が少し増え、髪の毛がずっと減りました!)、ソフトウェア・セキュリティの未来のスターたちに話を聞かれることがよくありますが、これは私が大好きな仕事です。しかし、堂々と立って自分の役割に成長したいと考えている人々にとって、リーダーやメンターとして目に見えることがいかに重要であるかも理解しています。

最近、私はいくつかの人と一緒にロンドンにいました セキュア・コード・ウォリアー チームと私たちはブランチイベントを主催しました。これは、一握りのアプリケーションセキュリティのスーパースターを集めて、ネットワーキングや洞察、そしてペストリーを1つか2つ集めることを目的としています。60 名を超える招待者の前で、専門家によるパネルの一員として豊富な専門知識を披露し、アプリケーション・セキュリティの未来について皆がワクワクしました。

パネルディスカッションでは、組織のアプリケーションセキュリティ予算を最大限に活用する方法など、話題の多い問題や、聴衆から寄せられたいくつかの素朴な質問を取り上げ、セキュリティマネージャ、スペシャリスト、開発者が組織内で実行可能なプログラムを構築するのに役立つことは間違いありません。

以下のリーダーをパネルに迎えることができて光栄に思います。 ツール対.人材:貴社のアプリケーションセキュリティ予算は、その両方に十分対応できていますか?

• CISO、ヴィンセント・ギルバート ソシエテ・ジェネラル
• CEO、セドリック・レヴィ・バンシェトン セトーム
• Reena Shah、セキュリティとプライバシーの文化と認識の責任者 M&G プルデンシャル
• リー・サーロウ、グローバル・アプリケーション・セキュリティ・ディレクター ピアソン
• ルイス・ブラムフィット、マネージング・ディレクター ブラムフィットラボ。

各スピーカーは、AppSecツール環境についての考えを共有しました（ネタバレ）。多くの組織が非常に多くのソフトウェアを作成しているため、必要なすべての機能を実行するツールを選択するのは地雷原になることがあります。結局のところ、1 つのツールですべてを網羅することはできません)。

リーナ・シャーも興味深い点を指摘しました。わずか数年で、大規模組織におけるアプリケーションセキュリティに対する認識が前向きに変化し、重要な要素、つまりセキュリティのベストプラクティスと文化を維持するための人材への投資が具体化し始めたのです。

「状況は変化していると思います。私がこれを4年前に始めたとき、セキュリティ文化と意識の面では、予算とチームを作ろうとするのが本当に大変でした。そして、私が今感じているのは、それはもう私の課題ではないということです。私が言うのはとても簡単です。「これが私が必要とする予算であり、リスクを軽減するために必要な人材はこの人たちです。私は今、大きな変化を目の当たりにしています。それは、取締役会と経営幹部が、セキュリティインシデントを減らすために資金を提供することがいかに重要であるかを理解しているからだと思います。」彼女は言いました。

今すぐパネル全体を見ることができます:

私にとって、最前線の開発者に適切なトレーニングと知識を重点的に取り入れ、未だに醜い頭を抱えている古くからの脆弱性に対する強固な防御策を講じることができるという、AppSecの未来を見るのは信じられないほど新鮮です。

ツールはある程度のサポートを提供しますが、実は、今こそ事実に向き合う時です。必要なのは、同じ過ちを繰り返すのをやめることです。

AppSecエラー・ループを閉じる

また、Leaders in AppSecブランチの一環として、同じセキュリティ脆弱性が繰り返し出現するというコストがかかる継続的な問題にどのように対処できるかについてのプレゼンテーションも行いました。ツールはそれらを見つけるかもしれませんが、防ぐための対策はあまり行われていません。開発者は、そもそも導入をやめるための適切なトレーニングを受ける必要があります。

そして、まあ、私たち開発者は面白い人たちです。エンゲージメントと定着率に関しては、他のトレーニングよりもはるかに効果的なトレーニングもあります。私のプレゼンテーションの全文はこちらでご覧いただけます。

に重点を置く セキュリティトレーニング開発者とAppSecの間の一般的な認識とポジティブな文化は、攻撃者にとってクリプトナイトのようなものです。こうした小さな裏口が閉ざされ、データへの簡単な方法が枯渇し、セキュリティのスーパーヒーローたちが協力して、セキュリティをソフトウェア品質の代名詞にしようとしています。

ゆっくりと、しかし確実に、私たちはそこにたどり着いています。