DevSecOps とはこちらの DevSecOps ガイドをダウンロード

現在、運用チームはコラボレーション、自動化、コンテナを利用して、ソフトウェアの提供にかかる時間を短縮しています。こうした DevOps のベストプラクティスは構築を迅速化する新たな方法を見つけるうえで役立ちましたが、依然として古いセキュリティプラクティスが多くの企業のペースを低下させています。

DevSecOps を導入しましょう。DevSecOps とは、開発チームと運用チームに IT セキュリティを統合し、ソフトウェア開発ライフサイクルのあらゆるステップでセキュリティを優先事項とすることです。いくつかの変更を加えるだけで、組織は遅延やコスト増加なしに、より優れた安全なソフトウェアを出荷できます。

Enter DevSecOps のメリット

セキュリティ費用の削減

DevSecOps には、パフォーマンスの高いチームが実践している全ての DevOps のベストプラクティスと、大規模な組織に求められるセキュリティが含まれます。DevOps パイプラインにセキュリティを組み込むと、リリース前に脆弱性を発見でき、その修復もより簡単に、少ないコストで対応できるようになります。

より効果的なチームワーク

DevOps では開発者と運用担当者の双方が信頼性と品質に責任を負うのと同様に、DevSecOps ではセキュリティを最終ステップではなくチームの取り組みにします。開発、運用、セキュリティの各チームが連携し、一行目のコードを書く時から最終的な本番運用までアプリケーションの安全を確保します。

ポリシー駆動型の自動化

優れた DevSecOps プログラムは、組織のソフトウェアデリバリープロセス全体における信頼性も高めます。自動チェックは、全員の開発ペースを遅らせてしまう複雑な手動ツールの一式としてではなく、ポリシー主導型の方法でセキュリティを実装します。

従来: サイロ化したセキュリティ

現在: DevSecOps

デプロイ直前にテストを実施

静的テストと動的テストはデリバリーサイクルの最後であるリリース直前に実施していました。

アイディアから本番運用までテストを実施

静的テストと動的テストは、セキュアコーディングプラクティス、品質ゲートチェック、セキュリティの脆弱性の修正と同時に行います。

セキュリティの専門知識が分散

開発チーム、IT 運用チーム、セキュリティチームが個別に作業していました。

セキュリティの専門知識を共有

開発チーム、IT 運用チーム、セキュリティチームは全て共通のセキュリティガイドラインに従って作業します。

手動のセキュリティテスト

デプロイの頻度は低く、セキュリティチェックは必要に応じて個別に行われていました。

自動セキュリティテスト

デプロイの頻度は高くなり、CI/CD パイプラインに自動セキュリティチェックが追加されます。

DevSecOps を導入するための 3 つのヒント

1. コラボレーションのために安全な共有プラットフォームを利用

DevOps と同様に、DevSecOps もコラボレーションに依存し、コラボレーションで終わります。共有プラットフォームは、開発、IT 運用、セキュリティの各チームが連携し、その働き方を標準化するのに役立ちます。セキュリティが組み込まれたプラットフォームを優先的に利用すると、組織全体でベストプラクティスを共有したり、コードを見つけて再利用したり、開始時からコラボレーションしたりできるようになります。

GitHub からのヒント: 優れたセキュリティはサインインから始まります。最適なコラボレーションプラットフォームを見つける場合は、2 要素認証、シングルサインオン、自動 Organization 同期などの ID 管理機能をサポートしているプラットフォームである必要があります。

2. エンドツーエンドで SDLC を保護

最近リリースされたアプリケーションの最大 99% にオープンソースコードが含まれています。つまり、オープンソースの依存関係は既にコードベースの一部になっています。*オープンソースコードと内部ソースコードの両方に含まれるセキュリティの脆弱性をプロアクティブに特定できるコードセキュリティツールを CI/CD パイプラインに統合しましょう。

GitHub からのヒント: オープンソースソフトウェアは至るところにあります。LGTM バリアント分析、WhiteSource、Snyk などの自動セキュリティツールを使用すると、チームが手作業で追跡できないバグや脆弱性を簡単に見つけて排除できます。

*2019 年オープンソースセキュリティおよびリスク分析レポート

3. 本番運用後にセキュリティを追跡

コードのコミット後もセキュリティは継続します。DevSecOps パイプラインも終了しません。導入後も脆弱性を継続的に監視して、コードとお客様の安全性を維持します。ハッカーが悪用できるようになる前に、リリース後の脆弱な依存関係を追跡して更新できるツールを探してください。

GitHub からのヒント: セキュリティの脆弱性アラートはプロジェクトの安全性を高める一方、業界のデータでは脆弱性の 70% 以上が 30 日後も、その多くは最長で 1 年後も、パッチが適用されないままとなっていることがわかっています。脆弱な依存関係を特定するだけでなく、それを自動で修正するインテグレーションを利用しましょう。