c3.9 セキュリティチャンピオンプログラムを運営する
各開発チームにセキュリティチャンピオンを置き、セキュリティチームとの窓口として、セキュアな開発の訓練を受けさせます。経営層のスポンサーシップが成功の鍵です。それがないと、チームは継続的に時間を割きません。
実装ガイダンス
開発チーム内にセキュリティ能力を築く
各開発チームにセキュリティチャンピオンを任命し、セキュリティチームとの日常的な橋渡し役、そしてチームの良いプラクティスの番人とします。経営層（CIO/CISO）のスポンサーシップが不可欠です。それがないと、チームはプログラムに時間を割きません。
良いチャンピオンの条件
- 仲間に教えることを好む、セキュリティ愛好家。
- 信頼できる: 問題を正直に報告し、判断（リスク受容、デプロイ停止、緩和）に必要な情報を提供します。
- 日常的にチームに溶け込み、セキュリティチームに内側の視点を提供します。
チャンピオンの役割
- セキュリティを学び、重大なリスクを捕捉するテストケースを書きます。
- アプリケーションを熟知したうえで脅威モデルの作成を支援します。
- チームのコードに関する脆弱性管理者として動きます。
やりがいを保つ
これは追加の仕事なので、報いてください。研究やコードのセキュリティ目標達成への表彰、オフィスアワー、限定の研修、そしてゲーミフィケーション（たとえば、最も多くの不具合を修正したチームや、検出された欠陥が最も少ないチーム）。AWS は参加できる Security Game Day も開催しています。参考として、AWS がどのように Security Guardians プログラムを構築したかをご覧ください。
How to validate
- 各開発チームにセキュリティチャンピオンがいますか？
- プログラムには経営層のスポンサーシップと割り当てられた時間がありますか？
- チャンピオンは訓練され評価されており、チームの脅威モデリングや脆弱性管理を支援していますか？
Threats addressed
- セキュリティのオーナーシップが組み込まれていないと、良いプラクティスは、あらゆるプロジェクトにスケールできない中央チームに依存します。その結果、リスクは遅れて見つかるか、まったく見つかりません。