トレードオフの判断:

• 予算500万のうち200万で収まるため、残りは人員教育やインシデント対応に充当可能
• OSSツール中心だが、SCAのみSnyk有償版を採用（自動修正PRの生産性向上効果が大きい）
• 「リスクゼロ」は不可能。リスクを許容可能なレベルに低減することが現実的な目標

Gate 1: PR時

Gate 2: ビルド後

Gate 3: 本番デプロイ前

# policy/soc2.rego
package soc2

# CC6.1: 変更には2名以上の承認が必要
deny[msg] {
  input.environment == "production"
  count(input.approvers) < 2
  msg := "SOC2 CC6.1: 本番変更には2名以上の承認が必要"
}

# CC8.1: すべてのデプロイに監査ログが必要
deny[msg] {
  not input.audit_log_enabled
  msg := "SOC2 CC8.1: 監査ログが有効化されていません"
}

# PCI DSS 6.3: Critical脆弱性のあるアーティファクトのデプロイを禁止
deny[msg] {
  input.pci_scope == true
  vuln := input.vulnerabilities[_]
  vuln.severity == "CRITICAL"
  msg := sprintf("PCI DSS 6.3: Critical脆弱性 %s が未修正", [vuln.id])
}

追加施策:

• GitHub Actionsのサードパーティアクションを監査し、許可リストを作成
• すべてのアクションをSHA固定で参照する組織ポリシーを導入
• Dependabotによる依存関係の自動更新を全リポジトリで有効化

CISOへの説明: 「全チームに段階的に導入します。最初の2週間でシークレットスキャンを全面展開し、最もリスクの高い攻撃を即座に防止します」

開発チームへの説明: 「パイプラインの追加時間は合計5分程度です。並列実行により既存のフローへの影響を最小化します」

# セキュリティパイプライン設計書 概要

## 1. ツール構成
- OSS中心 + Snyk SCA（年間200万円）
- 6カテゴリ7ツールで網羅的カバレッジ

## 2. セキュリティゲート
- 3ポイント（PR、ビルド後、本番前）
- 段階的なブロックポリシー

## 3. コンプライアンス
- SOC2 / PCI DSS対応をOPAポリシーで自動化
- 監査対応を手動2ヶ月→自動1週間に短縮目標

## 4. サプライチェーン
- SLSA Level 2を3ヶ月で達成
- SBOM全アーティファクトで生成

## 5. 導入計画
- 16週間で段階的に導入
- 開発者体験への影響を最小化