// シス担のミカタ
システム開発

DevSecOps でぶせくおぷす

セキュリティDevOps継続的セキュリティ自動化シフトレフトコンプライアンス
DevSecOpsについて教えて

簡単に言うとこんな感じ！

「開発（Dev）・セキュリティ（Sec）・運用（Ops）」を最初から一体化させる考え方だよ！ 従来はセキュリティを最後にチェックしてたけど、DevSecOpsでは開発の全工程にセキュリティを自動的に組み込むんだ。「速さ」と「安全」を両立できる現代の開発文化なんだよ！

DevSecOpsとは

DevSecOpsは、Development（開発）・Security（セキュリティ）・Operations（運用）を統合したアプローチで、従来「リリース前の最終チェック」だったセキュリティを開発・運用の全工程に継続的に組み込む文化・プロセス・技術の体系です。

DevOpsが「開発と運用のサイロを壊す」ことで高速デリバリーを実現したのと同様に、DevSecOpsは「セキュリティもサイロを壊す」ことで速度を落とさずにセキュリティを担保することを目指します。

「すべての開発者がセキュリティ責任を持つ」という考え方がDevSecOpsの本質です。セキュリティチームは「ゲートキーパー（最後の審査員）」ではなく「イネーブラー（開発者がセキュリティを実践できるよう支援する存在）」へと役割が変わります。

DevOpsとDevSecOpsの違い

観点DevOpsDevSecOps
セキュリティのタイミングリリース前に実施全工程に継続的に組み込む
セキュリティの担当者セキュリティチームが審査開発者全員が責任を持つ
セキュリティの自動化限定的CI/CDに完全統合
コスト後で修正するため高くなりがち早期発見で低コスト
速度への影響最終チェックで遅延自動化で速度維持

DevSecOpsの主要実践

フェーズ実践内容
計画脅威モデリング・セキュリティ要件の定義
コーディングセキュアコーディングガイドライン・IDEプラグイン
ビルドSASTによる静的コード解析・SCAによるライブラリ検査
テストDAST・ペネトレーションテスト
リリースセキュリティゲート（脆弱性があれば自動ブロック）
デプロイインフラセキュリティチェック・設定ミス検出
運用継続的な脆弱性監視・インシデント対応
監視SIEM・異常検知・ログ分析

歴史と背景

  • 2009年 — Patrick Deboisが「DevOps」という用語を提唱
  • 2012年 — DevOpsの普及とともに「セキュリティが追いつかない」問題が顕在化
  • 2014年 — DevSecOpsという用語が登場。Gartnerが「DevOpsSec」として取り上げる
  • 2016年 — RSAカンファレンスでDevSecOpsが主要テーマに。実践企業が増加
  • 2018年 — GitLab・GitHub等がCI/CDへのセキュリティスキャン統合機能を標準搭載
  • 2021年 — 米国大統領令14028号でソフトウェアセキュリティの強化が義務化。政府調達でもDevSecOps要件が登場
  • 2023年 — AIを活用したセキュリティ自動化が普及。DevSecOpsパイプラインにAIが統合

DevSecOpsパイプライン

DevSecOpsパイプラインの全体像 コード SAST Secret検知 ビルド SCA 依存関係検査 テスト DAST コンテナスキャン デプロイ IaC検査 設定ミス検出 運用 SIEM 異常検知 監視 脆弱性監視 インシデント対応 🛑 セキュリティゲート：いずれかのチェックで問題検出 → 自動でパイプライン停止 問題のあるコードは本番環境に届かない仕組みを構築する 全フェーズでセキュリティを自動実行 → 速度を落とさず安全を担保

関連する規格・RFC

規格・RFC番号内容
OWASP DevSecOps GuidelineDevSecOpsの実践ガイドライン
NIST SSDF（SP 800-218）セキュアなソフトウェア開発フレームワーク
ISO/IEC 27001情報セキュリティマネジメントシステムの国際規格
SOC 2セキュリティ・可用性等の内部統制報告書。DevSecOpsと関連

関連用語