ストーリー

DevSecOpsとは何か

従来型セキュリティとDevSecOpsの比較

DevSecOpsの3つの柱

DevSecOps の 3 本柱:

1. Culture（文化）
   ├── セキュリティは全員の責任
   ├── 非難ではなく改善に焦点
   └── セキュリティチャンピオン制度

2. Automation（自動化）
   ├── SAST/DAST/SCA のパイプライン統合
   ├── シークレットスキャン
   ├── コンプライアンスチェック自動化
   └── セキュリティテストの自動実行

3. Measurement（計測）
   ├── MTTR（Mean Time to Remediate）
   ├── 脆弱性の検出から修正までの時間
   ├── セキュリティカバレッジ率
   └── セキュリティ成熟度スコア

セキュリティの「Shift Left」

バグ修正コストの法則

セキュリティ上の欠陥を発見・修正するコストは、開発ライフサイクルの後工程ほど指数関数的に増大します。

「リリース後に見つかるセキュリティ問題の修正コストは、設計段階の20倍。これがShift Leftの経済的根拠だ」 — 田中VPoE

Shift Leftの実践

従来:
  [要件定義] → [設計] → [実装] → [テスト] → [セキュリティレビュー] → [リリース]
                                                      ↑
                                               ここで初めて検出
                                               → 大幅な手戻り

DevSecOps:
  [要件定義]     → [設計]        → [実装]     → [テスト]    → [リリース]
   ↑               ↑               ↑            ↑            ↑
   脅威モデリング   セキュリティ     SAST         DAST          継続的
   セキュリティ    アーキテクチャ   シークレット   ペネトレ       モニタリング
   要件定義       レビュー        スキャン      テスト

グローバルのDevSecOps動向

Month 4のロードマップ

「AIシステムの基盤ができた。次はその基盤を守る仕組みだ。セキュリティなきAIは、鍵のかかっていない金庫と同じだ」 — 田中VPoE

まとめ

チェックリスト

• DevSecOpsの基本概念を理解した
• 従来型セキュリティとDevSecOpsの違いを説明できる
• Shift Leftの経済的根拠を理解した
• Month 4のロードマップを把握した

次のステップへ

次は「脅威ランドスケープの理解」を学びます。組織が直面する脅威を体系的に分析するフレームワークを身につけましょう。

推定読了時間: 15分