DevSecOps.

DevSecOps は、セキュリティを下流の関門としてではなく、開発・セキュリティ・運用が共有する責任として扱うことで DevOps を拡張します。SAST、SCA、シークレットスキャン、コンテナスキャン、IaC 解析、DAST、ポリシー・アズ・コードといったセキュリティ統制を CI/CD パイプライン内で自動化し、開発者がすでに作業している場所で問題を可視化します。そして自動化に加えて文化的な変革も伴います。セキュリティチャンピオン、責任追及をしない振り返り、ダッシュボード上のセキュリティ KPI、セルフサービスのツール群などです。

この分野は、ソフトウェアサプライチェーン攻撃を受けて緊急性を増しました。2020 年の SolarWinds の SUNBURST 侵害はビルドプロセスそのものにバックドアを仕込み、2021 年の Codecov の Bash Uploader 侵害は数千ものパイプラインからシークレットを流出させ、パイプラインが今やアタックサーフェスの一部であることを示しました。これを受けて、米国の Executive Order 14028(2021 年 5 月)は連邦政府向けソフトウェアに SBOM と安全な開発に関する証明を義務付け、SLSA(Supply-chain Levels for Software Artifacts)や NIST SSDF(SP 800-218) といったフレームワークは、来歴(provenance)、署名済みアーティファクト、堅牢化されたビルド環境を体系化しました。

うまく実践すれば、DevSecOps は平均修復時間を短縮し、本番環境への脆弱性流出率を下げ、コンプライアンスの摩擦を軽減しつつ、高いデプロイ頻度を維持できます。要となる規律は、開発者を誤検知の山に埋もれさせることなく、深刻度の高い検出結果に対してビルドを失敗させることです。

flowchart LR
  A[コード / コミット] --> B[コミット前<br/>シークレットスキャン・lint]
  B --> C[ビルドとテスト<br/>SAST・SCA・IaC スキャン]
  C --> D[パッケージ化<br/>コンテナスキャン・アーティファクト署名・SBOM]
  D --> E{ポリシーゲート<br/>OPA・SLSA}
  E -->|深刻度が高く失敗| A
  E -->|通過| F[デプロイ]
  F --> G[実行時<br/>DAST・監視・フィードバック]
  G --> A