DevSecOps
読み方: デブセックオプス
DevSecOpsとは
DevSecOps とは、情報システムにおいて、開発 (development)、セキュリティー（security)、運用 (operation) のことを指します。組織文化、自動化、およびプラットフォーム設計に対するアプローチのことであり、ITライフサイクル全体を通じてセキュリティを共有責任として統合する開発スピードを損なわない開発スタイルのことです。
DevSecOpsでは、ソフトウェア開発サイクルの初期からセキュリティ開発・テストを導入し、セキュリティを高めると同時に、プロダクトのリリースサイクルを早め、品質を向上することも目的としています。
DevSecOpsの活用例
・自動化されたセキュリティテスト
開発プロセスにセキュリティテストを組み込み、自動化されたセキュリティテストツールや脆弱性スキャナを使用して、コードやアプリケーションのセキュリティを継続的に監視・評価することができます。
・セキュリティポリシーのコード化
セキュリティポリシーをコードとして扱い、インフラストラクチャの設定やアクセス制御などのセキュリティ関連の要件をコードで表現することで、セキュリティポリシーの変更履歴を追跡し、バージョン管理や監査を容易にします。
・ 継続的なセキュリティ監視
アプリケーションのデプロイ後、継続的なセキュリティ監視を行うことにより、セキュリティインシデントや異常な動作の検出につながるログやメトリクスの収集が自動化され、セキュリティの脅威を迅速に特定することができます。
・セキュリティの意識向上と教育
セキュリティトレーニングや教育プログラムを導入し、セキュリティに関するベストプラクティスや最新の脅威についての知識を共有することにより、セキュリティに関する問題への迅速な対応が可能になります。
活用のメリットとデメリット
■ メリット
・より早期の脆弱性の検出
開発中のあらゆる段階にセキュリティを実装することにより、あらゆる段階でのセキュリティ対策がより強力な検出を実現します。
・セキュリティリスクを抑制しやすい
DevSecOpsではない環境でソフトウェアの開発と運用を進めると、セキュリティの問題が生じた際に迅速な対応ができません。DevSecOpsはDevOps（開発と運用の連携を強化するアプローチ）を補完するセキュリティシステムであり、トラブルが発生してもすぐに気づくことができます。
・生産性の向上に繋がる
DevSecOpsによって、セキュリティトラブルに対処するプロセスを短縮し、時間とコストを節約できます。トラブルが発生してもすぐに解決できるため、日頃からDevSecOpsの環境を整備しておくことで、結果的に生産性の向上に繋がります。
・ビジネス需要変化に柔軟に対応できる
DevSecOpsの環境下では、そうでない場合よりもシステムを容易に修正できます。ビジネスの需要は日々目まぐるしいスピードで変化しているため、今後益々頻繁な修正が必要になるでしょう。DevSecOpsでなければ、システムを修正するたびに時間がかかり、トラブルも発生します。
■ デメリット
・スキルセットの要求
DevSecOpsでは、セキュリティに関する専門知識と技術スキルが必要です。組織がこれらのスキルを持っていない場合、適切なセキュリティプラクティスを実装することが難しくなる可能性があります。
・開発プロセスの遅延
セキュリティの統合には、開発プロセスに新たなステップやチェックポイントを追加することが必要です。セキュリティテストや脆弱性スキャンなどの追加手順が、開発プロセスの時間とリソースを増やす可能性があるため、開発プロジェクトの進行が遅れる場合があります。
・プロセスの複雑化
DevSecOpsの実装には、新しいツールやテクノロジーの導入が必要な場合があるため、開発プロセス全体が複雑化し、学習曲線が増える可能性があります。また、セキュリティの要件やガイドラインの変更に合わせて、定期的なプロセスの改善や調整が必要となる場合も考えられます。
・コラボレーションとコミュニケーションの課題
DevSecOpsでは、開発チーム、セキュリティチーム、オペレーションチームなど、異なる役割や専門知識を持つチームが密接に連携する必要があります。しかし、異なるチーム間のコミュニケーションやコラボレーションの課題が生じることがあるため、プロジェクトの進行や品質に影響を与える可能性があります。
現場の声
DevOpsのアプローチにより開発チームと運用チームの協業が以前よりしやすくなったものの、セキュリティについては開発プロセスに組み込むことが難しく、開発終盤で一度だけチェックするなどで開発が巻き戻ったり継続的な監視が難しい状況が続いていました。
セキュリティを開発サイクルに巻き込むDevSecOpsというアプローチはよりセキュリティがアプリケーション特性として重視される現代的な開発において、必要となってくるアプローチなんじゃないかと思ってます。
＜執筆・監修＞
アルサーガパートナーズ株式会社 DX技術用語集制作チーム
（2023年6月時点）