ストーリー

OWASP SAMM（Software Assurance Maturity Model）

SAMMの5つのビジネス機能

成熟度レベル

PayConnectの成熟度評価例

DevSecOps成熟度モデル（実践的モデル）

5段階の成熟度

レベル別のチェックリスト

L1 → L2 への移行チェック:
  □ SASTツールの導入（1つ以上のリポジトリ）
  □ SCAツールの導入（依存ライブラリのスキャン）
  □ シークレットスキャンの導入
  □ セキュリティガイドラインの作成

L2 → L3 への移行チェック:
  □ SAST/SCA がCI/CDに統合されている
  □ セキュリティゲートポリシーが定義されている
  □ DASTが定期的に実行されている
  □ シークレット管理サービスを使用している
  □ セキュリティ要件が文書化されている

L3 → L4 への移行チェック:
  □ セキュリティメトリクスが定義・計測されている
  □ セキュリティダッシュボードが運用されている
  □ MTTRのSLA目標が設定され、追跡されている
  □ コンプライアンスチェックが自動化されている
  □ セキュリティレビューが月次で実施されている

L4 → L5 への移行チェック:
  □ 脆弱性の自動修復（Auto-fix）が一部実現
  □ 異常検出（Anomaly Detection）が稼働
  □ 脅威インテリジェンスの自動取り込み
  □ セキュリティの投資対効果（ROI）を定量化
  □ セキュリティチャンピオンプログラムが定着

ロードマップの策定

12ヶ月ロードマップの例

「1年でL1からL5を目指すのは非現実的だ。L3をしっかり固めて、L4を目指す。それだけで業界平均を大きく上回るセキュリティ体制になる」 — 田中VPoE

まとめ

チェックリスト

• OWASP SAMMの5つのビジネス機能を説明できる
• DevSecOps成熟度モデルの5段階を理解した
• 自組織の成熟度を評価する方法を理解した
• 成熟度向上のロードマップを策定できる

次のステップへ

次は演習です。PayConnectのセキュリティダッシュボードを設計しましょう。

推定読了時間: 15分