DevSecOpsを成功させるために押さえるべき12のポイントをGartnerのレポートから読み解く

「DevOpsにセキュリティを組み込み、DevSecOpsを実現するには、考え方、プロセス、テクノロジーを変える必要があります。セキュリティテストを開発プロセスにシームレスに組み込むには、セキュリティおよびリスク管理のリーダーがDevOpsの協調的でアジャイルな性質を尊重し、「Sec」を意識させないことが大切です。」

Gartnerのレポートによると、DevSecOpsは2019年に最も急速に関心が高まった分野の一つとなり、進化を続ける成功事例から、セキュリティや開発に携わるアナリストやリーダーに多くの知見がもたらされました。Gartnerの最新レポートDevSecOpsを成功させるために押さえるべき12のポイントでは、これらの知見をまとめ、示唆に富む分析を紹介しています。

DevSecOpsへの組織変革は、多くのチームやさまざまな要素、さらには新しいツールも関わるため、複雑になりがちです。Gartnerのアナリストは、よくある課題を特定し、DevOpsの拡大を目指す組織に向けて推奨事項を提示しています。

レポートで取り上げているトピック：

• セキュリティテストのツールとプロセスを開発者に合わせる

• 開発中にすべての脆弱性をなくそうとするのをやめる

• まず既知のオープンソースの脆弱性の特定と除去に注力する

• 従来型のDAST/SASTを変更せずに使えると期待しない

• 開発者にセキュアコーディングを教える。ただし、セキュリティの専門家になることは求めない

• セキュリティチャンピオンモデルを採用し、シンプルなセキュリティ要件収集ツールを導入する

• 自動化スクリプトとインフラのセキュリティポスチャを保護し、運用規律を徹底する

• すべてのコードとコンポーネントに対して、より強固なバージョン管理を実施する

• シークレット管理を適用する

• イミュータブルインフラストラクチャの考え方を取り入れる

• サービス提供に関するインシデントへの対処方法を見直す

• DevSecOpsで開発者に動的なアクセス権を付与する

以下では12項目のうち3つを詳しく取り上げます。自社でこれらのプラクティスを実践する最善の方法を総合的に理解するため、レポート全体にもぜひ目を通してください。

セキュリティテストのツールとプロセスは、開発者に合わせる。逆ではない

DevOpsの基本原則として広く知られているのは、システム内で作業を可能な限り迅速に進めることです。一方、あまり知られていませんが、DevOpsとアプリケーションセキュリティにとって重要なのは、開発者に同じペースで、できるだけ早い段階からフィードバックを提供するという原則です。

時代遅れの情報セキュリティのアプローチは、見直しが必要です。しかし、組織にDevOpsを取り入れるのは簡単ではありません。適応力のある開発チームに加え、知識を共有する意欲のある運用チームとセキュリティチームの協力が欠かせないプロセスです。新しいプロセスを導入すれば、開発者はアプリケーションの構築と並行して、自分たちのペースでセキュリティを確保できるようになります。これによりプロセス全体が効率化され、コンプライアンスへの対応も容易になります。

この開発者ファーストのアプローチでは、現在利用できるセキュリティソリューションの見直しも必要です。たとえセキュリティチームの予算で導入するツールであっても、何よりもまず、主要な利用者である開発者を対象に設計されていなければなりません。こうしたソリューションはやがて標準となり、今後のDevOpsの取り組み方を形作っていきます。

まず既知のオープンソースの脆弱性の特定と除去に注力する

ヴォルテールの有名な古い言葉に、「完璧は善の敵」というものがあります。これは何世紀も前と同じように、今も真実です。特にデジタルビジネスの世界では、完璧なセキュリティを追求する情報セキュリティの姿勢が、スピードと俊敏性を求めるビジネスや開発者のニーズと相反します。

適切なツールを導入すると、あらゆる問題がすぐに見つかり、修正されると思いがちです。しかし、DevOpsが組織のセキュリティにもたらすプロセスの効率化をもってしても、現実はそうではありません。チームが初回のテストを実行し、大量の脆弱性に直面して、「いったい何から修正すればいいのか」と悩むと、状況はさらに苛立たしいものになります。

Gartnerと同様に、脆弱性の一覧を優先順位を付けた、より管理しやすいリストに整理することをお勧めします。

セキュリティチャンピオンモデルを採用し、シンプルなセキュリティ要件収集ツールを導入する

セキュリティチャンピオンは、チームのコードを使った実践的な例をすぐに示し、抽象的で実感しにくい問題よりも、目の前の修正に焦点を当てることで、セキュアコーディングの複雑さに対する開発者の懸念を和らげます。

セキュリティチャンピオンの優れた事例として、Revolutが組織全体にこの取り組みを導入して成功した例があります。同社では、セキュリティへの取り組みがほぼすぐに改善しました。その大きな理由として、技術面だけでなく企業文化にも適合し、組織に溶け込めるパートナーであるSnykとの出会いを挙げています。

このブログ記事で紹介したのは、レポートに含まれる有益な知見のほんの一部です。まだまだ多くの推奨事項があります。ぜひレポートをご覧ください。