DevSecOpsとは？

DevSecOps（Development：開発、Security：セキュリティ、Operation：運用の組み合わせ）は、開発ライフサイクル全体を通してセキュリティを統合するソフトウェア開発手法です。開発サイクルが短くなるにつれ、プロジェクトの終盤になってセキュリティを追加することが非効率になってきた問題を解決するために、生み出された手法です。

DevOpsは開発と運用の統合を目指すアプローチで、ソフトウェアの開発、テスト、デプロイメントを自動化し、迅速なリリースを実現します。一方、DevSecOpsはセキュリティを開発プロセスに取り込んだ拡張版であり、セキュリティを初期段階から統合することで、継続的なセキュリティテストや監査を行います。コンテナやオーケストレータのような新たな攻撃対象領域は、アプリケーションとともに監視し、保護する必要があるため、DevSecOpsが力を発揮します。

DevOpsはスピードと柔軟性を追求する一方で、DevSecOpsはセキュリティとコンプライアンスを重視します。両者は、組織のリスク管理やアジリティの向上を可能にし、安全性と効率性を両立させるためにお互いを補い合うように活用されます。

アプリケーションセキュリティとは、外部の脅威からアプリケーションを守るために、ソフトウェアやハードウェア、理路整然とした方法を使用することです。最新のアプローチとして、_シフトレフト_や開発プロセスの早い段階での脆弱性の発見および修正に加え、本番環境でのアプリケーションやそのInfrastructure as Codeを保護するための_シフトレフト_などが挙げられます。ソフトウェア開発ライフサイクル自体を守ることも、しばしば必要となります。開発プロセスとオペレーションプロセスにセキュリティを組み込むこのアプローチによって、DevOpsの開発手法がDevSecOpsの開発手法へと効率的に生まれ変わります。このアプローチはエンドツーエンドのDevOpsプラットフォームと使用することで、最大限に効果を発揮できます。

DevOpsムーブメントの発端となった書籍「The Phoenix Project」を読んだことがある方は、自動化、一貫性、メトリクス、コラボレーションの重要性を理解しているでしょう。DevOpsもDevSecOpsも、開発者とセキュリティチームの両方が脆弱性を見つることができましたが、DevOpsでは、開発完了したコードの欠陥を開発者が修正する必要がありました。しかしDevSecOpsでは、開発者がコードに取り組んでいる段階から脆弱性を指摘できるため、手戻りを防ぐことができるようになるのです。

GitLabの2022年DevSecOps調査によると、DevOpsチームの大多数が静的アプリケーションセキュリティテスト（SAST）、動的アプリケーションセキュリティテスト（DAST）、その他のセキュリティスキャンを定期的に実行していましたが、実際にワークフロー上でこれらを実施している開発者は3分の1以下でした。セキュリティ担当者の大多数が、所属するDevOpsチームがシフト・レフト（開発の早い段階でテストを実施すること）していると回答しており、47％のチームがテストの完全自動化を報告しています。

自動化

GitLabの2022年DevSecOps調査によると、大多数のDevOpsチームが静的アプリケーションセキュリティテスト（SAST）、動的アプリケーションセキュリティテスト（DAST）、またはその他のセキュリティスキャンを定期的に行っているものの、デベロッパーの3分の1未満が実際にはワークフローにおいてその結果を確認できていないことが明らかになりました。セキュリティ担当者の多くは、自社のDevOpsチームがシフトシフトしていると回答しています。また、47%のチームは完全にテストを自動化済みと報告しています。

コラボレーション

脆弱性とその修正に関する、唯一の信頼できる統合されたソースとして、開発チームとセキュリティチームの双方が求めていた透明性を提供します。開発サイクルをより効果的かつ円滑にし、ツール間の形式変換も必要なくなります。

ポリシーのガードレール

企業によって、リスクに対する許容度は異なります。自社のセキュリティポリシーは、自社にとって何を正とするかを反映したものである一方、遵守すべき規制要件もまた、適用しなけらばならないポリシーに影響を与えます。そこで、ガードレールと自動化を組み合わせ、セキュリティおよびコンプライアンスポリシーの矛盾を避けることで、一貫性を持たせられます。

可視性

エンドツーエンドの DevSecOps プラットフォームは、ソフトウェアのライフサイクルの最初から最後まで、誰が、いつ、どこで、何を、なぜ変更したかを監査人に明確に示すことができます。また、SSOT(シングル・ソース・オブ・トゥルース)を活用して、アプリケーションのリスクを早期にあぶりだします。

脆弱性を先回りして見つけられる

DevSecOps はセキュリティが後回しにされがちな従来のアプローチと異なり、セキュリティをソフトウェア開発ライフサイクルの初期段階にシフトします。開発プロセス全体を通じてコードのセキュリティ問題をレビュー・スキャン・テストすることで、チームはセキュリティの懸念をプロアクティブに特定し、追加の依存関係が導入されたり、コードが顧客にリリースされたりする前に、すぐに対処できます。

より安全なソフトウェアをスピーディにリリースできる

プロジェクトの最終段階までセキュリティの脆弱性が検出されないと、開発チームは土壇場で問題に対処するために奔走することになり、結果として大幅な遅延が発生しかねません。しかし、DevSecOpsでは、開発者はコーディング中から脆弱性を修正できるため、セキュアなコードで開発を進められ、セキュリティ・レビューのやり取りを減らすことができます。これは、組織がソフトウェアをより早くリリースするのに役立つだけでなく、ソフトウェアの安全性とコスト効率の向上にもつながります。

ビジネスの価値を高める活動に集中できる

顧客とステークホルダーは、高速で信頼できる安全なソフトウェアを求めています。

これに応えるために、開発チームは、自動化されたセキュリティテスト、継続的インテグレーションと継続的デリバリー（CI/CD）、脆弱性パッチ適用など、最新の協業手法とセキュリティ技術を活用する必要があります。DevSecOpsは、開発、セキュリティ、運用の各チーム間のやりとりを効率化するため、より多くのリソースを、ビジネス価値の向上に集中させられるようになります。

ここまで、DevSecOpsの利点は、スピード、効率性、コラボレーションの強化であることをお話ししてきましたが、それがあなたのチームに向いているかどうかを、どのように判断すればよいでしょうか？もし、あなたの組織が以下のような課題に直面していれば、DevSecOpsアプローチは良い選択かもしれません：

1. 開発、セキュリティ、運用の各チームがサイロ化している場合。開発、セキュリティ、運用の各チームが分断していて、開発チームと運用チームがセキュリティ問題から切り離されていると、安全なソフトウェアを構築できません。また、セキュリティ・チームが開発プロセスの一部でなければ、リスクを早期に特定することができません。
   DevSecOpsはチームをまとめ、ワークフローを改善し、アイデアの共有を活性化するので、チームメンバーのモチベーションや職場定着率の向上も期待できるかもしれません。

2. 開発サイクルが長すぎて競合に勝てない。この悩みの根本は、セキュリティ管理のプロセスかもしれません。DevSecOpsは、開発ライフサイクルのすべてのステップでセキュリティを実装するため、強固なセキュリティを確保しながら、プロセスの停止や手戻りを防ぎます。

3. クラウドに移行中（または検討している）。クラウドへの移行は多くの場合、新しい開発プロセス、ツール、システムの導入を必要とします。DevSecOpsで開発プロセスをより速く、より強いセキュリティレベルに引き上げる絶好の機会です。

DevSecOpsアプローチに移行することで、組織はリアルタイムでセキュリティ脅威に対処できるようになりますが、変化は一朝一夕には実現できないものです。適切なマインドセットは、適切なツールと同等に重要です。ここでは、DevSecOpsを取り入れるにあたって重要な5つのマインドセットを紹介します：

1. セキュリティ対策とセキュリティ専門家は、ボトルネックや障壁ではなく、貴重な資産であることを忘れない。より広い視野を見失わないでください。脆弱性が見つかるのがプロセスの後ろ倒しになればなるほど、修正はより難しくなり、費用も高額になります。

2. 小さなイテレーションで作業する。小さな単位でコードを提供することで、脆弱性をより迅速に検出できるようになります。

3. 誰もが貢献できるようにする。誰もがコードやプロセスにコメントしたり、改善を提案したりできる規範を作りましょう。チームの全員に変更を提出するように促すことで、コラボレーションが始まり、全員がプロセス改善への責任を持てるようになります。

4. 常に監査に備える。チーム全員がコンプライアンスの重要性を理解し、コンプライアンス情報を収集・更新するようにしましょう。

5. セキュリティのベストプラクティスについて全員を訓練する。詳細なセキュリティガイドラインと実践的なトレーニングを提供し、開発チームと運用チームがセキュアな開発について十分な訓練を受けるようにしましょう。

GitLabでDevSecOpsを導入してみませんか？

GitLabのDevSecOpsソリューションの詳細と、Ultimateプランの無料トライアルはこちらからお申し込みいただけます。