EXERCISE 90分

ストーリー

田
田中VPoE
ここまでの5つのStepで、DevSecOpsに必要なすべての要素を学んだ。最後の総合演習だ
あなた
セキュリティ要件、SAST/DAST/SCA、シークレット管理、ID管理、メトリクス…全部ですね
あ
田
田中VPoE
そうだ。CTOと経営会議に提出する「DevSecOps導入計画書」を完成させる。この文書が承認されれば、セキュリティパイプラインの全社展開プロジェクトが正式にキックオフする

田中VPoEは真剣な表情で続けました。

田
田中VPoE
この計画書は「ツールを入れます」という提案ではない。「なぜDevSecOpsが必要なのか」「何がどう変わるのか」「投資対効果はどうか」。経営層が「これで進めよう」と意思決定できるレベルにしてくれ
あなた
5つのStepで作った個別の成果物を統合し、一貫性と説得力のある計画書にまとめます
あ

ミッション概要

項目内容
演習タイトルDevSecOps導入計画書
想定時間90分
成果物DevSecOps導入計画書（経営層承認用）

計画書の構成

以下の7章構成に従って、DevSecOps導入計画書を作成してください。

第1章: エグゼクティブサマリー

現状の課題と提案する解決策を1ページにまとめてください。

  • 現状のセキュリティ状態（ヘルススコアと主要リスク）
  • DevSecOps導入で実現すること（3つの目標）
  • 投資規模と期待されるROI
解答例

現状: セキュリティヘルススコア60/100。Critical脆弱性5件が未修正、PCI-DSS準拠率78%で不適合リスクあり。セキュリティテストのカバレッジ67%で、検査されないコードが本番に到達するリスク。

提案: DevSecOpsパイプラインの導入により、(1) セキュリティテストの100%自動化、(2) PCI-DSS/SOC 2の継続的準拠、(3) 脆弱性MTTRの50%短縮を12ヶ月で実現する。

投資: 年間約800万円（ツール50万円 + 外部ペンテスト300万円 + 研修150万円 + 人件費増分300万円）。セキュリティインシデント回避コスト（推定3,000万円/年）に対するROIは275%。

第2章: 現状分析

PayConnectの現在のセキュリティ状態を分析してください。

  • セキュリティ成熟度評価（OWASP SAMM 6領域）
  • 脆弱性の現状（数値データ付き）
  • コンプライアンスのギャップ分析
解答例

成熟度評価

SAMM領域現在のレベル業界平均ギャップ
GovernanceL1L2戦略未策定、メトリクス未定義
DesignL1L2脅威モデリング未実施
ImplementationL2L2SAST/SCA一部導入済み
VerificationL1L2DAST手動実行のみ
OperationsL1L2インシデント対応が属人的

総合: L1.2（業界平均L2に対して0.8ポイント不足）

脆弱性の現状

指標現在値目標値ギャップ
Critical脆弱性5件0件-5件
MTTR（Critical）36時間24時間-12時間
パイプラインカバレッジ67%100%-33%
PCI-DSS準拠率78%95%-17%

第3章: DevSecOpsアーキテクチャ

導入するセキュリティパイプラインの全体像を設計してください。

  • セキュリティテストピラミッド（5層）
  • ツール選定と構成図
  • セキュリティゲートポリシー
解答例

ツール構成

レイヤーツール目的コスト
IDESemgrep LSPリアルタイム検出0円
プリコミットGitleaksシークレット検出0円
PRSemgrep, Trivy, DependabotSAST/SCA/依存管理0円
ビルドTrivy (Image), Syft (SBOM)コンテナスキャン0円
ステージングOWASP ZAPDAST0円
コンプライアンスOPA, Checkovポリシーチェック0円
シークレット管理HashiCorp Vaultシークレット一元管理0円（OSS）
ID管理Auth0認証・SSO約500万円/年
ダッシュボードDefectDojo + Grafana可視化約50万円/年（インフラ）

第4章: シークレット管理とID管理

シークレット管理基盤とID管理基盤の設計を記載してください。

  • Vault導入計画（3フェーズ）
  • ID管理基盤のアーキテクチャ
  • ゼロスタンディング権限の導入計画
解答例

Vault導入3フェーズ

フェーズ期間内容
Phase 1Month 1-2Vaultインフラ構築 + 非Criticalシークレット移行
Phase 2Month 3-4動的シークレット導入 + 全Criticalシークレット移行
Phase 3Month 5-6JITアクセス導入 + ブレイクグラス手順整備

ID管理基盤

コンポーネントツール機能
IdPAuth0ユーザー認証、MFA、エンタープライズSSO
認可エンジンOPARBAC + テナント分離ポリシー
テナント分離PostgreSQL RLS + OPA多層防御
プロビジョニングSCIM自動ユーザー管理

第5章: メトリクスとガバナンス

セキュリティメトリクスとガバナンスの設計を記載してください。

  • KPIと目標値（SLA付き）
  • ダッシュボード設計（3層）
  • セキュリティレビュープロセス
解答例

KPIと目標値

KPI現在値6ヶ月後目標12ヶ月後目標
Critical脆弱性数500
MTTR（Critical）36h24h12h
パイプラインカバレッジ67%100%100%
PCI-DSS準拠率78%90%95%
ヘルススコア607585

セキュリティレビュープロセス

頻度内容参加者
毎日セキュリティダッシュボード確認セキュリティチーム
週次脆弱性対応ステータス確認セキュリティ + 開発リード
月次セキュリティメトリクスレビューセキュリティマネージャー + VPoE
四半期成熟度評価 + 改善計画更新CTO + セキュリティチーム

第6章: 導入ロードマップ

12ヶ月の導入計画を策定してください。

  • 四半期ごとのマイルストーン
  • 各フェーズのリスクと対策
  • 必要なリソース（人員、予算、インフラ）
解答例

12ヶ月ロードマップ

四半期マイルストーン成果物
Q1パイプライン基盤構築SAST/SCA/Secret Scan 100%展開、セキュリティゲート運用開始
Q2シークレット管理 + DASTVault本番稼働、DAST自動化、Critical脆弱性ゼロ達成
Q3ID管理 + メトリクスAuth0本番稼働、エンタープライズSSO対応、ダッシュボード構築
Q4最適化 + 成熟度評価L4達成確認、次年度計画策定、PCI-DSS 95%達成

リソース計画

リソースQ1Q2Q3Q4年間合計
セキュリティエンジニア2名2名2名2名—
DevOpsエンジニア（兼務）1名1名0.5名0.5名—
ツールコスト50万円50万円175万円175万円450万円
外部ペンテスト075万円75万円75万円225万円
研修50万円050万円50万円150万円

第7章: 投資対効果（ROI）

DevSecOps導入の投資対効果を算出してください。

  • 3年間のTCO
  • 定量的な効果（インシデント回避コスト、工数削減等）
  • リスク調整ROI
解答例

3年間TCO

項目Year 1Year 2Year 3合計
ツール/インフラ450万円500万円500万円1,450万円
外部ペンテスト225万円300万円300万円825万円
研修150万円100万円100万円350万円
人件費増分300万円200万円200万円700万円
合計1,125万円1,100万円1,100万円3,325万円

3年間効果

効果年間効果3年合計
インシデント回避（1件あたり3,000万円 × 確率20%削減）600万円1,800万円
セキュリティレビュー工数削減（自動化）500万円1,500万円
コンプライアンス監査工数削減300万円900万円
開発者生産性向上（セキュリティ差し戻し削減）800万円2,400万円
PCI-DSS不適合罰金の回避1,000万円3,000万円
合計3,200万円9,600万円

ROI

  • 標準ROI: (9,600 - 3,325) / 3,325 = 189%
  • リスク調整ROI（係数0.5）: 189% × 0.5 = 94%
  • 回収期間: 約14ヶ月

達成度チェック

観点達成基準
エグゼクティブサマリー課題・解決策・ROIが1ページにまとまっている
現状分析成熟度評価と脆弱性データに基づいた分析
アーキテクチャツール選定、パイプライン設計、ゲートポリシーが設計されている
シークレット/ID管理Vault導入計画とID管理基盤が設計されている
メトリクスKPI、ダッシュボード、レビュープロセスが定義されている
ロードマップ四半期ごとのマイルストーンとリソース計画がある
ROI3年間のTCO、効果、リスク調整ROIが算出されている

推定所要時間: 90分