リソース記事：DevOps環境へのセキュリティの統合

エグゼクティブサマリー

多くの組織では、DevOpsとセキュリティが別々に運用されてきました。開発とデプロイのスピードが向上する一方で、セキュリティ対策は後回しにされがちです。しかし、早い段階からセキュリティを組み込むDevSecOpsの取り組みは、成果につながることが実証されつつあります。

DevOpsとは

DevOpsとは、ソフトウェア開発とIT運用の間にあるサイロを解消し、継続的インテグレーションのプロセスを活用する一連のプラクティスです。

従来、多くの組織では、インフラストラクチャ内でアプリケーションを開発、デプロイ、管理するために、チームを機能別に分けていました。しかし、イノベーションとビジネスのデジタルトランスフォーメーションをめぐる競争により、新機能の開発とリリースが加速しています。セキュリティは後回しにされることが多く、その結果、品質が低下し、多くのお客さまの不満につながっています。開発サイクルの終盤でアプリケーションコードを変更すると、追加のテストや再認証によって極めて高いコストがかかるだけでなく、「セキュリティが開発の足かせになる」という一般的な認識をさらに強めることになります。

サイクルタイムが短縮し、開発チームがソフトウェアをより迅速にリリースするためにアジャイル手法の導入を進める中、DevOpsによる継続的インテグレーションは、より多くの新機能を市場へ迅速かつ高頻度に提供することを目指しています。鍵となるのはスピードです。

“継続的インテグレーションの目標は、より多くの新機能を備えたリリースを、より頻繁かつ迅速に市場へ投入することです。すべてはスピードにかかっています。”

DevOpsの早期段階にセキュリティを統合するには

ソフトウェア開発ライフサイクルの早い段階でセキュリティのベストプラクティスを採用すると、コストと効率に大きな効果をもたらす可能性があります。しかし、多くの組織では、DevOpsの普及以前に開発チームと運用チームがそれぞれサイロ化していたのと同様に、セキュリティチームも依然として孤立しています。こうした状況を背景に、継続的インテグレーション／デプロイメントのプロセスにセキュリティを組み込む、さらに新しい取り組みであるDevSecOpsが登場しました。

DevSecOpsの普及が進んでいる主な理由の1つに、「シフトレフト」と呼ばれる手法があります。「シフトレフト」とは、ソフトウェア開発チームが開発の初期段階から堅牢なコードの作成に注力することです。この手法により、セキュリティの役割は、事後対応型のゲートキーパーから予防型へと移行します。セキュリティチームは開発チームに指針と支援を提供し、継続的インテグレーション／継続的デリバリー（CI/CD）の開発パイプラインに、早い段階からセキュリティ自動化を組み込みます。

DevSecOps環境では、セキュリティを共通の責任として捉えることで、連携とフィードバックが大幅に強化され、開発、運用、セキュリティ間の障壁が取り除かれます。その結果、コストを抑え、効率を高めながら、機能をより迅速に市場へ投入できます。

スケーラビリティと効率を向上させる5つの方法

セキュリティを共同責任として捉える場合でも、開発者がすぐにセキュリティの専門家となり、最初から適切なセキュリティ制御を選択できると期待することはできません。DevOpsと同様に、DevSecOpsは、アプリケーションの開発とデプロイのあり方に文化的な変革を求める考え方です。しかし、セキュリティチームが以下の5つの領域に注力すれば、コストを削減し、効率を高め、スケールする能力を向上できます。