SAST ツール比較

選定: Semgrep

選定理由:

1. カスタムルールの記述がYAMLベースで容易であり、PCI-DSS固有のルールを迅速に追加できる
2. 実行速度が高速でPRへのフィードバック時間を短縮できる
3. GitHub Actionsとの統合が標準で提供されている
4. OSSでコスト0円、予算を他のツールに配分できる

SCA ツール比較

選定: Trivy + Dependabot（併用）

選定理由:

1. Trivyはコンテナスキャン + SBOM生成 + IaCスキャンの統合が可能
2. DependabotはGitHub標準で自動修正PRを生成できる
3. 両者の併用でコスト0円で網羅的なSCAを実現できる

全体コスト見積もり

残りの予算450万円は、四半期ごとの外部ペネトレーションテスト（約300万円/年）と、セキュリティ研修（約150万円/年）に配分を推奨。

パイプライン構成図

PR作成 ──→ Phase 1（並列実行、計3分）
            ├── SAST（Semgrep）: 約1分
            ├── SCA（Trivy fs）: 約1分
            ├── シークレットスキャン（Gitleaks）: 約30秒
            └── ライセンスチェック: 約1分

        ──→ Phase 2（Phase 1通過後、計5分）
            ├── Docker Build: 約3分
            └── コンテナスキャン（Trivy image）: 約2分
                └── SBOM生成（Syft）: 約30秒（並列）

PR合計: 約8分（10分以内達成）

main マージ ──→ Phase 3（計20分）
                 ├── ステージングデプロイ: 約5分
                 └── DAST（ZAP API Scan）: 約15分

             ──→ Phase 4（Phase 3通過後、計2分）
                 └── コンプライアンスチェック（OPA）: 約2分

             ──→ Phase 5（手動承認）
                 └── 本番デプロイ承認 → デプロイ

並列/直列の判断根拠

ゲートポリシー

例外処理フロー

脆弱性検出 ──→ 開発者が確認
                │
                ├── 真の脆弱性 ──→ 修正して再スキャン
                │
                ├── 誤検知 ──→ サプレスコメント + レビュー
                │               └── セキュリティリードの承認必須
                │
                └── 修正に時間が必要 ──→ 例外申請
                    ├── JIRAチケット作成（修正期限付き）
                    ├── リスク受容の承認（Critical: VPoE、High: マネージャー）
                    └── security-exceptions.yaml に記録（有効期限90日以内）

緊急リリース時の対応

エスカレーションルール