DevSecOpsを再始動：Snykの新しいフレームワークが信頼と協力を築く方法

DevSecOpsがソフトウェア開発を変革するアプローチとして登場してから10年以上が経ちましたが、その導入状況には依然としてばらつきがあります。開発、セキュリティ、運用のシームレスな統合が期待される一方、新しいプロジェクト、ブランチ、リポジトリをセキュリティテストの対象に追加するプロセスを完全に自動化していると回答した組織は、わずか38%です。

そのため、大半の組織では今も手作業に頼っており、ワークフローが遅くなるだけでなく、セキュリティカバレッジに重大な抜け漏れが生じています。その結果、セキュリティチームとエンジニアリングチームの間には摩擦が絶えず、最新の開発パイプラインでスピードと安全性を両立することも難しいままです。

従来、開発者のワークフローにセキュリティを取り入れると、ビルドやテストに時間がかかり、ブロッキングエラーが発生し、統合も複雑になるため、開発者の間でセキュリティへの印象が悪くなりがちでした。しかし、そうする必要はありません。最新のエンジニアリング手法とソフトウェア開発に合わせて設計された成熟度モデルとフレームワークを導入すれば、組織はエンジニアリングチームとセキュリティチームの生産性やコミュニケーションを向上できます。

Snykの最新ホワイトペーパー『DevSecOps is Dead』では、エンジニアとセキュリティ担当者の信頼関係を築き、より安全なアプリケーションを実現することで、組織がどのように前進し、DevSecOpsを全面的に取り入れられるかを解説しています。

ホワイトペーパー全文をダウンロード

DevOpsからDevSecOpsへ

2000年代初頭以降、アジャイル手法、クラウドコンピューティング、オープンソースの普及に伴い、ソフトウェアエンジニアの役割は大きく変化しました。開発者の柔軟性と自律性が高まり、より迅速に作業できるようになったのです。この変化とともに生まれたのが、ソフトウェア開発ライフサイクル（SDLC）における責任の共有と、継続的インテグレーション／デリバリー（CI/CD）の実践を推進するDevOpsという考え方です。

しかし、こうした手法やツールによって開発者のワークフローが加速する一方で、可視性の不足とリスクへの理解不足から、セキュリティ上の問題が増え始めました。この増加に対処するため、リーダーたちはセキュリティを最優先事項として扱うようになり、DevSecOpsが誕生しました。

DevSecOpsにおけるDevExの役割

ソフトウェア開発ライフサイクルの早い段階でセキュリティを組み込む必要性が高まるなか、シフトレフトが注目されるようになりました。自動テストやセキュアコーディングなど、事前の対策が重視されました。しかし、開発者のニーズや好みを考慮せずにセキュリティテストツールがワークフローに組み込まれたと感じる人も多く、この急な導入が摩擦を生むことになりました。

DevSecOpsの課題とその原因を考えるうえで、開発者エクスペリエンス（DevEx）は重要な要素です。最近の調査では、開発者の生産性を高める3つの傾向として、集中を妨げないフロー状態、認知負荷の軽減、短いフィードバックループが示されています。現在のDevSecOpsは、こうしたニーズを満たせていません。

セキュリティチームが認識上のリスクに基づいて対応することが多く、開発者のフロー状態は尊重されていません。また、セキュリティツールやプロセスの多くは必要な情報を十分に提供せず、認知負荷が増大します。さらに、開発者は判断をAppSecチームに委ねるため、フィードバックループが不必要に長くなります。課題はほかにもありますが、現在のDevSecOpsでは、開発者が脆弱性を効率よくトリアージし、優先順位を付け、管理することが難しくなっています。

SnykとともにDevSecOpsを再始動

開発者が現在直面している課題を見ると、開発者とセキュリティチームの間に信頼が不足していることは明らかです。開発者はセキュリティプロトコルによって制約されていると感じる一方、セキュリティチームは開発中にリスクや脆弱性が見過ごされていると感じることがよくあります。SnykのDevSecOps成熟度フレームワークは、次の3つの基本原則を通じて協力と信頼を育み、組織の目標とアプリケーションセキュリティの成果に向けて開発者とセキュリティチームの足並みをそろえます。

• 透明性：脆弱性、管理策、プロセス、ドキュメント、技術的な意思決定について透明性を確保する必要があります。これによりチーム間の信頼が生まれ、セキュリティに関する判断を自動化できます。

• 体系的な説明責任：責任範囲を明確にし、合意事項を文書化することで、チームは計画やインフラを効率的に構築し、実行できます。

• 協力によるリスク低減：リスクの評価と低減に共通のフレームワークを用いることで、セキュリティチームと開発者の連携を促し、継続的な改善とセルフサービス型のワークフローを実現します。

6つの重要な柱は次のとおりです。

• DevOpsの基盤：自動化と信頼性の高いプロセス、ツールを活用し、チームの力を引き出します。

• 戦略と文化：価値観、目標、計画を通じて、ソフトウェアリスク管理に長期的に取り組みます。

• セキュリティ設計：管理策を通じて、開発者にとって最も安全な選択肢がデフォルトになるようにします。

• テストとモニタリング：実際の脅威インテリジェンスを活用して、ソフトウェアテストのプロトコルを策定し、実施します。

• 対応と修正：リスクの検出結果に適切に対応できる、説明責任の明確なプログラムを構築します。

• 分析とガバナンス：KPIと主要な成果指標を活用し、継続的な改善を推進します。

SnykのDevSecOps成熟度フレームワークを活用すれば、組織は最新の開発者向けセキュリティプログラムを構築できます。このフレームワークは、開発者チームとセキュリティチームの間の摩擦やサイロ化したワークフローを減らし、リスク低減と信頼を重視する文化を育みます。

こうした変化により、開発者とセキュリティチームは従来のAppSecの実践を超え、開発者の作業を遅らせることなく、あらゆる工程にセキュリティを真に組み込めるようになります。開発者向けセキュリティや、現代的な原則に基づく信頼の構築について詳しくは、Snykのホワイトペーパー『DevSecOps is Dead』をお読みください。