DevSecOpsの意味

DevSecOpsは、ソフトウェア開発と運用のライフサイクルへセキュリティ活動を組み込む実践や文化を指します。NIST NCCoEのDevSecOps資料では、開発、セキュリティ、運用の関係者が協力し、NIST SSDFなどの安全な開発 practices をCI/CDやサプライチェーンの流れに組み合わせる参照モデルを扱っています。DevSecOpsでは、脅威モデリング、依存パッケージの検査、静的・動的解析、秘密情報の検出、コンテナやIaCのスキャン、署名、監査ログ、脆弱性対応を早い段階から繰り返します。目的はセキュリティ担当へ作業を押し付けることではなく、開発者、セキュリティ担当、運用担当がリスクを共有し、修正を小さく速く回すことです。ツールをCIに追加するだけではDevSecOpsにならず、検出結果の優先順位、例外の期限、修正責任、リリース判断、測定指標まで決めます。読み方は「デブセックオプス」です。

NISTのDevSecOps実践は、ソフトウェア開発ライフサイクルの後工程だけでなく、設計、実装、テスト、デプロイ、運用へセキュリティ活動を組み込む考え方として整理されています。開発・セキュリティ・運用が共通の工程を扱います。

後から脆弱性を探して修正するだけでなく、コード、依存関係、設定、イメージ、デプロイの各段階で自動検査と責任共有を行うことで、修正の手戻りを減らしやすくなります。検査だけで安全が保証されるわけではありません。

現在は、CI/CD、コードスキャン、依存関係検査、IaC検査、コンテナスキャン、秘密情報検出、運用監視などを組み合わせて使われます。検出後の優先順位、例外、承認、修正期限、監査記録まで運用に含めます。