開発組織のためのセキュアコーディング研修の始め方

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. GMO Flatt Securityは「エンジニアの背中を預かる」をミッションに、開発者向けセキュリティ学習サービス「KENRO byGMO (ケンロー)」の提供を通して、これまで多様な業界・企業におけるセキュアコーディングの取り組みを支援してきました。そのような取り組みの一方で、「初めての研修なので、取り組み方を知りたい」「他に活用できる学習コンテンツを知りたい」という声を伺いました。そこで、本資料はその経験と知見を踏まえ、「なぜ、どういった形でセキュアコーディング研修をすると良いのか」「学習コンテンツにはどういったものがあるか」をこれからセキュアコーディング研修をはじめたい方に向けて整理しています。本資料が、組織におけるセキュアコーディングの第一歩を踏み出す支えになれば幸いです。はじめに INTRODUCTION

Slide 5

Slide 5 text

Slide 6

Slide 6 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 開発組織でこのようなセキュリティ知識の課題はありませんか？ IMPORTANCE OF SECURE CODING PROGRAM セキュアコーディングに関する理解度に差があり、  レビュー時のコミュニケーションコストが高い。普段セキュリティ診断を実施し指摘された脆弱性への対応を行う時、指示に従って修正するだけになっており、  どの程度のリスクが有るのか判断しきれていない開発現場において、このようなセキュリティ知識のギャップを感じた場合、組織的なセキュアコーディングの研修が必要かもしれません。

Slide 7

Slide 7 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. Linux Foundation のOpenSSFによる2024年のセキュアコーディング教育に関する調査結果では、開発者におけるセキュアコーディングスキルや学習機会の不足を示唆する内容が報告されています。事実、体系的なセキュアコーディングの知識は不足している IMPORTANCE OF SECURE CODING PROGRAM 若手開発者のは、自身にセキュアコーディングの知識がないと認識している約7割経験年数が 2 年未満の開発者の約7割はセキュアコーディングの知識がないと回答。ソフトウェア開発経験年数が増えるにつれてその割合は減少傾向にあるが、開発経験が10年以上の開発者においても20%以上はセキュアコーディングの知識がないと回答。多くの開発者は独学や実務経験で学んでいるが、そのは知識不足だと考えている約9割開発者は独学（74％）や実務経験（69％）でセキュアコーディングを学んでいると回答。開発者の53%はセキュアコーディングの体系的な研修を受けていないが、その87%はセキュアコーディングに十分な知識があると考えていない。引用：Secure Software Development Education 2024 Survey https://www.linuxfoundation.org/research/software-security-education-study

Slide 8

Slide 8 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. ガイドラインにおけるセキュアコーディング研修の位置付け IMPORTANCE OF SECURE CODING PROGRAM セキュアコーディング研修は、プロダクトの安全性向上のみならず法令や規格遵守の面でも重要になっています。組織として体系立った研修を実施することは、単なる知識習得ではなく戦略的な投資としての側面もあります。 ISO/IEC27001:2022 (附属書A 8.28) 情報セキュリティマネジメントシステム（ISMS）の要求事項であるISO/IEC27001の2022年の改訂版では、8.28の項目にセキュアコーディングの項目が新たに追加されました。この項目では開発者に対してセキュアコーディングの研修を行うことが対応の1つとして挙げられます。 PCI DSS (要件6.5) クレジットカード会員の情報を保護を目的としたセキュリティ基準である「PCI DSS」では、OWASPなどのガイダンスに基づいたセキュアコーディングに関するトレーニングが要求されており、実際に開発者にセキュアコーディングのスキルがあることをインタビューにて確認されます。

Slide 9

Slide 9 text

Slide 10

Slide 10 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 研修コンテンツを検討するにあたり、検討すべき3つの要素 IMPORTANCE OF SECURE CODING PROGRAM 研修の企画では「何を」「いつ・誰が」「どのように」行うか、そしてどう改善していくかの検討が求められます。 1 研修コンテンツの学習の流れセキュリティの基礎から脆弱性の理解と対策、自社での体制まで。学ぶべき内容を整理します。 2 研修コンテンツの実施方法通常業務と並行して行うべきか、そして研修のどこまでを自社で行うべきかを決めます。 3 研修の効果測定・改善受講者のアンケートや研修後のパフォーマンスの測定を用いて、研修結果の測定や次回に向けた改善を行います。

Slide 11

Slide 11 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. セキュリティの基情報セキュリティの三要素（機密性・完全性・可用性）や脅威とリスクの概念の理u 脆弱性の理解と対 OWASP Top 10や、IPAが公開している「安全なウェブサイトの作り方」等に記載された脆弱性と対策の理u Q 社内体制・開発プロセスの理| 社内のセキュリティチーム・脆弱性診断の取り組みや、開発プロセスにおけるレビュー体制の理解研修コンテンツの学習の流れ IMPORTANCE OF SECURE CODING PROGRAM 基礎→具体例の紹介→実践の流れを意識してカリキュラムを構成すると、受講者が知識を実務に結び付けた理解を促進できます。特に2の項目は理解すべき内容の中心となるため、効果的な学習手法や教材について検討する必要があります。

Slide 12

Slide 12 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. ¤~ 通常業務と並行して行うべきか £ 通常業務と並行して行う場合は受講の催促が難しく、単独で研修する場合はスケジュールの確保に課題があります £ 新卒研修でも配属後に並行して行う、あるいは配属前に一律で行う場合の2パターンが考えられます f~ 研修コンテンツをどこまで自社で作成すべきか £ 研修実施の工数は大きいため、コンテンツの作成や実施を委託するかは重要な論点です £ 次のページにて、研修コンテンツの内製のメリットとデメリットについてまとめています。研修コンテンツの実施方法の論点 IMPORTANCE OF SECURE CODING PROGRAM 研修コンテンツを実施する上では、実施のスケジュールや準備にかける工数の制約が大きいです。そのため、受講者に対してはまとまった受講時間をどう確保するか、準備においてはコンテンツ作成をどう行うかの検討が重要です。

Slide 13

Slide 13 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. TIPS: 研修コンテンツの内製の利点・欠点 CONSIDERATION POINTS 内製コンテンツ外部コンテンツ利点講師から直接学べ、質疑応答が可能。短時間で集中して実施可能短期間で充実したコンテンツを提供可能で、研修設計に集中ができる欠点テキストの作成に加え、演習環境の構築や演習問題作成の工数が大きい自社に最適化したコンテンツの追加作成が必要になることが多い。費用がかかる場合もある。外部コンテンツを使う場合も、内製のコンテンツと組み合わせることでより自社に最適化した研修が可能です。また、社内にセキュリティ専門人材がいない際はまず外部の学習コンテンツから学び、内容を活用することが近道です。

Slide 14

Slide 14 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 受講後の効果測定のアイディア CONSIDERATION POINTS ¾· 反応（Reaction）/ 受講者の反 ¿ 「内容が技術レベルとマッチしていたか」「学習した内容が実務で役立つと感じたか」など、受講直後にオンラインアンケートを行い、研修内容や講師のわかりやすさに対する満足度を5段階評価で回答してもらうv w· 学習（Learning）/ 学習成 ¿ 脆弱性に関する理解度を選択式や穴埋め問題などで測り、研修前後のスコア差を分析するv ¿ ケーススタディを実施し、チームディスカッションで導き出した対策案の質を評価する。研修の評価の際に良く用いられる、Kirkpatrick Modelの４つのレベルをセキュアコーディング研修に当てはめると、下記のような測定の観点・手法を検討することができます。

Slide 15

Slide 15 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 受講後の効果測定のアイディア CONSIDERATION POINTS ÃÉ 行動（Behavior）/ 職務行動の変x E 研修前後でコードレビュー時のセキュリティ関連指摘件数を追跡し、エンジニア同士が脆弱性リスクを意識したコメントを増やしているか評価する E Pull Requestにセキュリティ観点の説明が増えたか、設計段階のレビューでセキュリティ考慮が議題に上がっているかなど、プロセス上の定性評価を行う mÉ 結果（Result）/ 組織にもたらした効B E 単純評価することは難しいですが、実際に開発工程において脆弱性が減ったかで評価することができます E 脆弱性診断やSAST/DAST等で検知された脆弱性の総数や重大度を研修前後で比較する E リリース後に外部から報告される脆弱性や、セキュリティインシデント件数の推移を測定。

Slide 16

Slide 16 text

Slide 17

Slide 17 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 学習コンテンツのまとめ IMPORTANCE OF SECURE CODING PROGRAM IPA等の公開資料やられアプリ書籍集合研修 e-learning コスト無料無料 2,000~3,000円 /冊 20~30万円/コース ~10万円 / 人利点網羅的な知識を無料で獲得可能攻撃体験を通じ実践的に学べる、楽しく主体的に取り組める詳細かつ体系的な解説を安価に学ぶことができる講師から直接学べ、質疑応答が可能。短時間で集中して実施可能好きな時間に受講でき反復も可能。受講者のレベルに合わせやすい。欠点実践演習がなく受動的学習になりがち、自律的な継続が必要環境構築や技術的知識が前提、解説なしでは学びきれない恐れがある読むのに時間がかかり、モチベーション維持が難しい受講費用が高額なことが多い。日程固定で柔軟性に欠ける上、全員一律ペースモチベーション維持が課題。動画等が中心の場合、知識が定着しづらい ※コストやメリット・デメリットは、後述する例を踏まえたものであり、全てのコンテンツに当てはまるものではありません。

Slide 18

Slide 18 text

Slide 19

Slide 19 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 画像出典: https://www.ipa.go.jp/files/000017316.pdf 安全なウェブサイトの作り方（資料） COMPARISON OF FREE LEARNING CONTENTS 安全なウェブサイトの作り方は、独立行政法人情報処理推進機構（IPA）が適切にセキュリティを考慮したWebサイトを作成できるように提供している資料です。届出情報の中から届出件数の多い脆弱性を取り上げ、脆弱性の説明や想定被害や対策などを示しています。利点 ` 無料のPDFファイル、Webサイトとして誰でもアクセス可能% ` IPAに提出された届出数が多いものを取り上げており、その脆弱性が届出数全体の何割を占めるかが具体的に示されている。欠点 ` 座学的になってしまうため、文章を読むだけでは理解が難しい% ` SPAやGraphQLのような所謂モダンなWeb技術については、主題となっていない。

Slide 20

Slide 20 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 安全なウェブサイトの作り方（資料） COMPARISON OF FREE LEARNING CONTENTS 画像出典: https://www.ipa.go.jp/files/000017316.pdf 研修での活用アイディア è 入門資料・リファレンスとして利用すÃ ² コストをかけずにまず開発者に配布するための資料として利用可¶ ² 紙の書籍と違い社内ポータルに掲載したりリンクを共有しやすく、必要な部分だけ抜粋して社内資料に利用することも可¶ è 未経験者向けには、脆弱性の原理や概要を詳しく説明すÃ ² 全くの未経験者に一からセキュアコーディングを教えるメイン教材とするには概要・原理を理解する難易度が高いため、各項目の詳解やハンズオンによる具体的な説明を行う

Slide 21

Slide 21 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. OWASP Juice Shopなどの「やられアプリ」による学習 COMPARISON OF FREE LEARNING CONTENTS やられアプリとは、様々な脆弱性が意図的に仕込まれた、学習用のWebアプリケーションです。最も代表的なものは OWASPが提供する「OWASP Juice Shop」です。ローカルやクラウドに立ち上げて、実際に脆弱性を探し当て、攻撃を体験することで、OWASP Top 10をはじめ多くの脆弱性を学ぶことができます。画像出典: https://github.com/juice-shop/juice-shop 利点 × 「脆弱性の危険性」や「攻撃手法の具体像」が具体的に体験できる。欠点 × 脆弱性を発見・攻略するには一定の知識が必要なため、全くの新人だと難易度が高い場合がある × 脆弱性の発見に主眼が当てられているため、開発視点でどのように攻撃を防ぐかの対策を別途学ぶ必要がある。

Slide 22

Slide 22 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. OWASP Juice Shopなどの「やられアプリ」による学習研修での活用アイディア Ý 座学で基礎を学んだ後の発展的な教材として利用す ¯ ハンズオン教材単独だと体系立てた知識になりにくいため、脆弱性の基礎知識の解説や脆弱性の修正方法について学習するコンテンツを補強する¶ ¯ 例えば「午前中は脆弱性解説の講義、午後はやられアプリを使った脆弱性の発見と修正方法についての演習」といった構成が考えられます¶ Ý グループに分かれたハンズオン学h 発見が難しい箇所の互助やチームビルディングを目的として、グループごとに演習を進める形を取りやすい。 COMPARISON OF FREE LEARNING CONTENTS 画像出典: https://github.com/juice-shop/juice-shop

Slide 23

Slide 23 text

Slide 24

Slide 24 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 書籍での学習 COMPARISON OF FREE LEARNING CONTENTS 書籍は腰を据えて深く学ぶのに適した教材です。『体系的に学ぶ安全なWebアプリケーションの作り方』などセキュアコーディングに関する書籍はいくつかあり、研修に取り入れることで体系的な知識を提供できます。利点 £ 体系立った解説があり、研修中だけでなく後からリファレンスとしても活用可 £ 1人当たり数千円程度と安価で、多人数に行き渡らせやすい欠点 £ 分量が多いため、研修の限られた期間内に全て読むことが難しß £ 本の内容を踏まえて、実際に手を動かす演習を設けないと知識が定着しにくい

Slide 25

Slide 25 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 書籍での学習 COMPARISON OF FREE LEARNING CONTENTS 研修での活用アイディア £ 事前の学習教材として配布す» Æ 体系的な解説のある書籍は知識の土台固めに適した教材であり、研修中および研修後の長期にわたって受講者を支え続けることが可能 £ 自社の研修コンテンツ作成の参考にす» 書籍は分量が多い一方で、書籍をもとに自社に重要な箇所を引用することで、効率的な研修コンテンツを作成可能章構成をヒントにカリキュラムを組むことで研修の論点を抑えやすい。

Slide 26

Slide 26 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 集合研修 COMPARISON OF FREE LEARNING CONTENTS SANS Instituteを始め、セキュリティ企業が提供する集合研修は、短期間で集中的に学べる手段です。受講費用は高額ですが、セミナーに参加する形式以外にも、社内で講師を招いて実施するプライベート研修も一般的です。利点体系的なシラバスやカリキュラムがあることが多い講師がリアルタイムで教えるため、その場での議論・質問が可能欠点一般的に1コース数十万円以上、講師の招聘でも講師料＋受講者の人件費（研修中は本業を離れる）がかかるスケジュールに柔軟性がないため、受講タイミングの調整が必要になる。

Slide 27

Slide 27 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 集合研修 COMPARISON OF FREE LEARNING CONTENTS 研修での活用アイディア ¡ 講師を招聘して、入社直後の新卒研修を効率化すÍ Ç スケジュールを確保しやすい入社直後タイミングで一斉研修を行うことで、コストを抑えた効率的な研修が可 Ç 短期間で必要な要素を一通り教育できるため研修設計をシンプルにできe ¡ 専門的なテーマの集合研修に参加により、チームのレベルを上げÍ Ç 全員には受けさせることが難しい場合でも、受講者が社内で共有会を開くなどを行うことで、チーム全体の知識レベルを上げることが可能h Ç 一方で、基礎的なセキュアコーディング研修の場合は、全員が参加することが望ましい。

Slide 28

Slide 28 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. オンライン学習サービス / e-learning COMPARISON OF FREE LEARNING CONTENTS Udemy等のオンライン学習プラットフォームや、Synopsys社などの動画を中心にしたオンライン研修サービスでもセキュアコーディングを学ぶ子ことができます。好きな時間に学べる手軽さから、多くの企業が研修に取り入れています。利点 ¹ 細切れに学習できるものが多く、オンラインで自分のペースで学べる§ ¹ 管理者は受講者の進捗や得点をシステムで把握でき、理解度を可視化しやすい。欠点 ¹ 特に演習コンテンツが少ない場合、学習内容の定着が図りづらい§ ¹ 集合研修のような強い拘束力がないため、社内で進捗を管理・催促する必要がある。

Slide 29

Slide 29 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. オンライン学習サービス / e-learning COMPARISON OF FREE LEARNING CONTENTS 研修での活用アイディア ï 全社の継続的な教育ツールとして活用すÎ © 一度に多くの人数が受講できるため、新卒からベテランまで全員の底上げを図るプログラムとして年間通じて提供可能² ï 座学や集合研修の事前学習やフォローアップのために使w Û 基礎講座を事前視聴してもらい、理解度テスト合格者だけ次のステップに進むようにすれば、受講者のレベルを揃えることが可能² Û また、座学や集合研修の後の理解度をテストするため、後日オンラインコースで復習テストを受けてもらうといった使い方もできる。

Slide 30

Slide 30 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. KENRO byGMO (ケンロー) COMPARISON OF FREE LEARNING CONTENTS GMO Flatt Securityが提供するKENRO byGMO（ケンロー）は、これまでの学習コンテンツの長所を取り入れたセキュアコーディング学習プラットフォームです。ハンズオン演習を中心にしつつ、書籍やテキストの体系立った知識を提供。利点 Ç Webアプリケーションを攻撃して学ぶ「ハッキング演習」と、修正の確認までを実際に体験する「堅牢化演習」の2つにより、実践的な学びを得られる´ Ç 脆弱性についての体系立てられた解説があるため、初学者でも学びやすい。欠点 Ç Webアプリケーション開発に特化した内 Ç 自主学習のため、他の教材と同様に受講者の進捗管理が必要

Slide 31

Slide 31 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. KENRO byGMO (ケンロー) COMPARISON OF FREE LEARNING CONTENTS 研修での活用アイディア © 新卒エンジニア・初学者向けの研修として運用すÈ « 「Webアプリケーションを1度でも構築したことがある開発者」を対象にしているため、初学者から学習しやすいÓ « オンライン教材のため、リモートワークや通常業務と並行した状況でも研修を行うことができるÓ © 演習や受講者同士のコミュニケーションを通じて、研修のモチベーションを高く保 « ハンズオンの演習が中心のため、楽しみながら受講でき « また、Slack等のチャットツールでの受講状況や質問の共有、定期的な質問会などを行うことで、より高いモチベーションを保てる

Slide 32

Slide 32 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. まとめ：研修のゴールと、コンテンツの組み合わせ方 COMPARISON OF FREE LEARNING CONTENTS 学習コンテンツは組み合わせることで、より効果的な研修のプログラムにすることができます。例えば「事前学習を書籍で行い、集合研修で基礎を固め、ハンズオンで発展的な演習を行う」というように座学→講義→演習の流れを作ったり、「オンライン学習＋質問会/講習会」で受講のモチベーション維持していく設計が考えられます。一つのコンテンツでは補えない部分も、別の手段で補完することで学習効果を最大化できます。最後に、セキュアコーディング研修を通じて得られる成果は、単に脆弱性が減ることだけではありません。開発者一人ひとりがセキュアコーディングの重要性を認識し、安全なソフトウェアをつくる文化が醸成されることが真のゴールです。研修コンテンツはその文化づくりの手段であり、受講者が主体的に楽しみながら学べるよう工夫することが何より重要です。

Slide 33

Slide 33 text

Slide 34

Slide 34 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. KENRO byGMOの特徴 ABOUT KENRO BYGMO 脆弱性への攻撃と修正のハンズオン演習に特化した、環境構築不要のです { 基礎から体系的に学べる、技術や脆弱性の解g { 攻撃者の立場でアプリケーションを攻撃するハッキング演v { 脆弱なソースコードを修正する堅牢化演習の3つの実践的なコンテンツを通じて、集合研修やeラーニングでは能力が定着がしづらい、という課題を解決します。セキュアコーディング学習プラットフォーム無料トライアル実施中 https://flatt.tech/kenro

Slide 35

Slide 35 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 学習の流れ - ①技術や脆弱性の解説 ABOUT KENRO BYGMO 脆弱性が生まれる原理・リスク・対策手法が体系的にまとめられた資料を用いて、基礎から体系的な理解が可能なコンテンツです。基礎的な脆弱性に関するコンテンツ（以下画像）では、OWASP Top 10 中に含まれる脆弱性をはじめ、Webアプリケーションにおける代表的な脆弱性を網羅的に学ぶことが可能です。基礎的な脆弱性に関するコンテンツでの学習項目無料トライアル実施中 https://flatt.tech/kenro

Slide 36

Slide 36 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. 学習の流れ - ②ハッキング演習 ABOUT KENRO BYGMO 攻撃者の立場で、脆弱なWebアプリケーションを実際に攻撃する演習です。いわゆるCTF（Capture The Flag）のような形式で、ページから隠されたデータを探し出すことコンテンツとなっており、楽しみながら学習が可能です。演習を通して攻撃者の立場を経験することで、開発時にセキュリティを意識することの重要性や、脆弱性の危険性を体験できます。無料トライアル実施中 https://flatt.tech/kenro

Slide 37

Slide 37 text

© 2025 GMO Flatt Security Inc. All Rights Reserved. © 2025 GMO Flatt Security Inc. All Rights Reserved. 学習の流れ - ③堅牢化演習 ABOUT KENRO BYGMO 実際の開発現場に近いソースコードを用いて、脆弱なWebアプリケーションのソースコードを修正する演習です。独自のジャッジシステムによって、修正されたコードに対して自動でテストが実行され、脆弱性が修正されたかどうかを自動で判定します。（特許第7463021号） Go、PHP、Java、Ruby、Python、C# のうち、各受講者が普段使い慣れている言語のソースコード選択して学習できます。無料トライアル実施中 https://flatt.tech/kenro