DevSecOpsは、セキュリティ、ワークカルチャー、セキュリティ自動化、プラットフォーム設計をソフトウェア開発と運用に織り込みます。DevSecOpsは、国防総省（DoD）、Zoom、その他多くの重要なインフラ組織におけるソフトウェア開発とソフトウェアサプライチェーンを保護する。DevOpsは、より良いソフトウェアをより早く提供するための方法論を提供する。これらは単なる流行語ではありません。最新のソフトウェア開発を推進し、ソフトウェア開発ライフサイクルの安全性を確保するために不可欠です。誇大広告を一刀両断し、OPSWATシニア・テクニカル・プログラム・マネージャーであるVinh Lam氏に、これらの人気トピックに関する最前線の洞察を語ってもらった。
DevOpsは開発チームと運用チームのコラボレーションを重視し、ソフトウェア開発ライフサイクルを合理化しますが、DevSecOpsはプロセス全体を通じてセキュリティを統合します」。
専門家のアドバイスに導かれたこの記事では、DevOpsとDevSecOpsを包括的に比較し、その違いを明らかにするとともに、よりセキュアなソフトウェア開発プロセスへの移行プロセスを探る。
目次
- DevOpsとDevSecOps：簡単な比較
- DevOpsとは何か？
- DevSecOpsとは何か？
- DevOpsとDevSecOps：両者の類似点
- DevOpsとDevSecOps：どう違うのか？
- DevOpsとDevSecOps：どちらを選ぶべきか？
- DevOpsからDevSecOpsへの移行方法
- Software 構成分析（SCA）：DevSecOpsの礎石
- DevSecOpsにおけるSBOMの重要性
- アプリケーション・セキュリティ・テストの方法
- よくある質問
DevOps vs DevSecOps:
クイック比較
| 基準 | デブオプス | DevSecOps |
|---|---|---|
| フォーカス | ソフトウェア開発（Dev）とIT オペレーション（Ops）のコラボレーションを合理化します。 | DevOpsアプローチにセキュリティ（Sec）の側面を追加し、ソフトウェア開発と運用のすべての段階でセキュリティの側面を統合する。 |
| 文化とチームへの参加 | 開発チームと運用チームのコラボレーションを促進する。 | 開発、運用、セキュリティの各チーム間のコラボレーションを促進する。セキュリティは共有責任である。 |
| セキュリティの統合 | セキュリティ・チェックは、多くの場合、開発プロセスの終盤に、あるいは別プロセスとして実装される。 | セキュリティはプロジェクト開始時から組み込まれ、開発プロセスの全フェーズを通じて統合される（「シフト・レフト」）。 |
| メリット | 効率的なコラボレーションと自動化により、より迅速で信頼性の高いソフトウェアデリバリーを実現。 | DevOpsのすべての利点に加え、セキュリティ問題の早期かつ継続的な特定と緩和により、より安全で信頼性の高い製品につながる。 |
| 課題 | 効果的なコラボレーションのためには、文化的な変化とトレーニングが必要である。チームは時にセキュリティを見落としてしまう。 | DevOpsと似ているが、セキュリティプラクティスを統合し、「全員によるセキュリティ」哲学に対する潜在的な抵抗を克服するという課題が追加されている。 |
| ツール | ツールは主にCI/CDプロセスを促進する。 | DevOpsツールに加え、コード解析ツールや継続的なセキュリティモニタリングなど、セキュリティチェックを自動化・統合するためのツールも使用している。 |
DevOpsとは何か？
DevOpsの起源と進化
エンジニアリング慣行に関する限り、ソフトウェア開発ライフサイクルは非常に歴史が浅い。当初、開発チームはアプリケーション開発にウォーターフォール・プロセスを使用していた。このフレームワークには、納品までの長いサイクルタイム、手作業によるミスの起こりやすいビルド、悪夢のような統合、時間のかかるテストサイクルといった欠点があった。
開発者たちは、ウォーターフォール・プロセスをアジャイル宣言で有名になったアジャイル・モデルに置き換え、アジャイル開発のための4つの重要な価値を強調した：
- プロセスやツールよりも個人と相互作用
- 包括的なドキュメンテーションの上に動作するソフトウェア
- 契約交渉における顧客の協力
- 変化への対応と計画への従順さ
アジャイル開発は、ウォーターフォール開発の直線的でサイロ化された制約からセキュリティ・チームを解放し、共同作業と自己組織化チームへの依存を可能にした。
DevOpsは次の論理的なステップであり、ソフトウェア開発の文化的な変化を促し、効率を向上させた。DevOpsは、これまで分離していたチームを統合し、一体化させた。コミュニケーション、コラボレーション、統合のギャップを埋めることで、より迅速で信頼性の高いソフトウェアデリバリーを促進する。
DevOpsライフサイクルを理解する
DevOpsのライフサイクルは、プランニングとコーディング、構築とテスト、デプロイメント、運用とモニタリングといういくつかの段階を包含する。この循環的なプロセスは、継続的インテグレーションと継続的デリバリー（CI/CD）を可能にし、スピード、効率性、適応性を促進する。
DevOps導入のメリット
DevOpsの導入には多くのメリットがある。ソフトウェアのデリバリーを加速し、コラボレーションとコミュニケーションを強化し、問題の迅速な検出と解決を促進する。要するに、DevOpsはシームレスで効率的、かつユーザー指向のソフトウェア開発ライフサイクルをサポートする。
DevOpsの課題と限界
そのメリットにもかかわらず、DevOpsには課題がある。十分なトレーニングの確保、文化的変化の管理、セキュリティの維持は、DevOpsを効果的に導入するための大きなハードルとなり得る。
私たちは、バックエンドに堅牢でスケーラブルで安全なソフトウェアフレームワークがあることを保証しなければなりません......バックエンドでのZoomの開発とソフトウェアの作成を確実に保護するために。Zoomは、私たち自身のソフトウェアがオープンソースを活用することを確実にするために、かなり安全で堅牢な環境を構築することを強く主張してきました。
ニック・チョン
Zoomの最高サービス責任者
DevSecOpsとは何か？
プログラムが、安全かつ柔軟で相互運用可能な方法でアプリケーションを開発、保護、配備、運用できるようにするソフトウェア自動化ツール、サービス、標準。
Software 工学研究所
カーネギーメロン大学 -DoDにおけるウォーターフォールからDevSecOpsへ
DevSecOpsの出現
DevSecOpsは、開発、セキュリティ、運用から派生したもので、セキュリティをソフトウェア開発ライフサイクルの基本要素として追加する。セキュリティの実践をDevOpsのライフサイクルに統合することで、DevSecOpsは「コードとしてのセキュリティ」を実現しようとしている。
DevSecOpsライフサイクルを理解する
DevSecOpsのライフサイクルは、DevOpsと同様に、計画、コーディング、構築、テスト、デプロイ、運用・監視などの段階を含む。決定的な違いは、各ステージに強固なセキュリティチェックと実践が含まれることである。
DevSecOps導入のメリット
DevSecOps は、セキュリティ態勢の改善、早期かつ継続的なセキュリティ保証、セキュリティ標準へのより良い準拠を提供する。セキュリティに対するこのプロアクティブなアプローチは、早期に脆弱性を特定し、リスクを軽減するのに役立つ。
DevSecOpsの課題と限界
DevSecOps には、DevOps と同様に課題がある。文化的な変化に対する潜在的な抵抗、包括的なセキュリティトレーニングの必要性、新たなセキュリティ脅威への継続的な適応の必要性などである。
DevOps vs DevSecOps：
、両者はどのように似ているのか？
DevOpsとDevSecOpsは、それぞれ異なる焦点とアプローチを持っているが、現代のソフトウェア開発における有効性に寄与するいくつかの類似点を共有している。
この2つの方法論の主な共通点をいくつか挙げてみよう：
コラボレーションとコミュニケーション
DevOpsもDevSecOpsも、チーム間のコラボレーションと効果的なコミュニケーションを重視している。開発者、運用担当者、セキュリティ専門家が共通の目標に向かって協力することで、サイロを取り払い、責任を共有する文化を醸成することを推進している。
継続的改善
DevOpsもDevSecOpsも、継続的な改善の文化を受け入れている。DevOpsとDevSecOpsは、反復的な開発サイクルを採用し、フィードバックを収集し、ソフトウェア開発とデリバリプロセスを段階的に強化することをチームに奨励している。継続的なモニタリング、テスト、フィードバックのループは、どちらの方法論にも不可欠である。
品質に対する責任の共有
品質保証は、DevOpsとDevSecOpsの両方で共有される責任である。QAチームを個別に設置するのではなく、チームメンバー全員がソフトウェアの品質を確保する責任を負う。開発ライフサイクル全体を通じてテストと品質チェックを統合することで、早期に問題を特定して解決することができ、より高品質なソフトウェアにつながる。
顧客中心主義
どちらの方法論も、顧客のニーズを満たし、価値を提供することに重点を置いている。顧客からのフィードバックや洞察を開発プロセスに継続的に取り入れることで、チームは顧客の期待に沿った機能や改善に優先順位をつけることができ、より顧客中心の製品やサービスを生み出すことができる。
DevOpsとDevSecOps：
どう違うのか？
DevOpsとDevSecOpsはソフトウェア開発で使用される方法論であり、多くの共通点がある一方で、両者には明確な焦点とアプローチがある。両者の違いを掘り下げてみよう：
セキュリティ・プロセスの重視
DevOpsとDevSecOpsの主な違いは、セキュリティの統合にある。DevOpsは、ソフトウェア開発ライフサイクルを合理化するために開発（Dev）と運用（Ops）の連携に重点を置いているが、本来はセキュリティをそのプロセスの重要な要素として含んでいない。
一方、DevSecOps は、セキュリティ（Sec）をソフトウェア開発・提供プロセスの基本的かつ統合的な側面として導入する。DevSecOpsは、セキュリティ（Security）をソフトウェア開発・提供プロセスの基本的かつ統合的な側面として導入するものであり、「コードとしてのセキュリティ（Security as Code）」を提唱することで、開発のあらゆる段階で、起こり得るセキュリティへの影響を考慮することを保証する。このアプローチは、開発後やセキュリティインシデントに対応して脆弱性に対処するのではなく、脆弱性を事前に特定し緩和することを促進するものである。
文化とチームへの参加
DevOps環境では、継続的インテグレーションとデリバリー（CI/CD）を保証するために、開発者とIT 運用スタッフの間で主にコラボレーションが行われる。その目的は、ソフトウェアのビルド、テスト、リリースをより迅速、頻繁、確実に行える環境を構築することである。
これとは対照的に、DevSecOps は、このコラボレーションの文化をセキュリティチームにも拡大する。このモデルでは、SDL の全員がセキュリティに責任を持ち、開発、運用、セキュリティの各チーム間のサイロを本質的に取り払う。DevSecOps のアプローチは、「全員による、全員のためのセキュリティ」という哲学を推進し、セキュリティは共有責任となる。
セキュリティ統合のタイミング
伝統的な DevOps モデルでは、多くの場合、チームはセキュリティプラクティスを別プロセスとして実装します。このような後期段階の統合は、特に、重大なセキュリティ問題を発見した場合に、遅延と複雑化につながる可能性があります。
DevSecOps は、プロジェクト開始直後から開発の全フェーズを通じてセキュリティ対策を統合することで、この問題に対処しようとしている。セキュリティに対するこの「シフト・レフト」アプローチは、潜在的な問題がプロセスのかなり早い段階で特定され、対処されることを意味し、より安全で信頼性の高い最終製品につながる。
ツールとオートメーション
DevOpsもDevSecOpsも、自動化と効率的なプロセス管理のためにさまざまなツールを利用するが、DevSecOpsでは特に、セキュリティチェックと制御を自動化・統合するように設計されたツールを使用する。これには、コード分析ツール、自動化されたセキュリティテスト、セキュリティ脅威の特定と管理を支援する継続的モニタリングツールなどが含まれる。
DevOps vs DevSecOps:
どちらを選ぶべきか？
DevOpsとDevSecOpsのどちらを選択するかは、最終的には組織固有のニーズ、リソース、戦略的目標に依存する。どちらの手法も独自の利点を提供し、コラボレーションの改善、デリバリー・サイクルの加速、製品品質の向上という共通の目標の下で運用されている。しかし、セキュリティに対するアプローチは大きく異なります。
DevOpsは、開発チームと運用チームのコラボレーションを強化し、デリバリー・プロセスをスピードアップすることに主眼を置いている組織にとって理想的です。この方法は効率を高め、サイロ化を解消し、継続的な学習と改善の文化を育成します。DevOpsを導入することで、デプロイの失敗を減らし、失敗からの復旧を迅速化し、開発サイクルを短縮することが期待できます。
一方、規制の厳しい業界で事業を展開していたり、機密性の高い顧客データを扱っていたりする場合は、DevSecOps の方がより賢明な選択かもしれない。この方法は、DevOpsの利点を取り入れ、開発ライフサイクルの各段階にセキュリティを注入する。確かに、DevSecOpsへの移行は当初は難しく感じられるかもしれないし、初期段階ではわずかなスローダウンを引き起こすかもしれないが、リスク軽減と規制遵守の面でもたらすメリットから、検討する価値のある投資であることは間違いない。
DevOpsからDevSecOpsへの移行方法
DevOpsからDevSecOpsへの移行には、慎重な計画と実装が必要だ。ここでは、そのプロセスをガイドするためのチェックリストを紹介する：
ステップ1：現在のDevOpsプラクティスを評価する
既存の DevOps プロセス、ツール、文化を評価する。セキュリティプラクティスをより効果的に統合できる領域を特定する。
ステップ2：セキュリティ要件を理解する
組織に適用される特定のセキュリティ要件とコンプライアンス基準を決定する。これらの洞察は、移行に必要なセキュリティ統合のレベルを定義するのに役立つ。
ステップ3：セキュリティ意識の向上
SDL におけるセキュリティの重要性についてチームメンバを教育し、トレーニングすることで、セキュリティに対する意識の文化を醸成する。セキュアな環境の維持における自分の役割を全員が理解するようにする。
ステップ4：セキュリティ専門家の参加
移行プロセスの早い段階で、セキュリティの専門家やエキスパートを関与させる。彼らの専門知識は、潜在的な脆弱性を特定し、組織の目的に沿ったセキュリティ戦略を策定するのに役立つ。
ステップ5方針の見直しと更新
セキュリティポリシーを見直し、DevSecOps の原則に沿うように更新する。セキュリティプラクティスを既存のポリシーに組み込み、チーム全体に効果的に周知する。
ステップ6：ライフサイクル全体を通じたセキュリティの統合
計画からコーディング、デプロイメント、運用に至るまで、すべての段階でセキュリ ティ管理とチェックを組み込み、セキュリティ対策を開発プロセスの左側にシフトする。事後的なアプローチだけに頼るのではなく、事前予防的なセキュリティ対策を重視する。
ステップ7：セキュリティ・テストの実施
静的・動的コード解析、脆弱性スキャン、侵入テストを含む、包括的なセキュリティテストを組み込む。これらのセキュリティテストを CI/CD パイプラインの一部として自動化し、継続的なセキュリティを確保する。
ステップ8：セキュリティ・コントロールの自動化
自動化ツールを活用して、セキュリティ管理とポリシーを一貫して実施する。セキュリティチェック、構成管理、監視を自動化し、継続的なセキュリティとコンプライアンスを確保します。
ステップ9：継続的モニタリングとインシデント対応
システム、アプリケーション、ネットワークの継続的な監視を実施し、セキュリ ティインシデントを迅速に検出して対応する。インシデント対応プロトコルを確立し、教訓に基づいて定期的に更新する。
ステップ10コラボレーションとチーム間のコミュニケーション
開発、運用、セキュリティの各チーム間の協力を促進する。セキュリティ関連の情報、ベストプラクティス、教訓を共有するためのオープンなコミュニケーションチャネルを奨励する。
ステップ11評価と改善
DevSecOps の実装の有効性を定期的に評価する。フィードバックを収集し、主要なメトリクスを監視し、セキュリティ監査を実施して、改善すべき領域を特定し、それに応じてプロセスを調整する。
Software 構成分析（SCA）：DevSecOpsの礎石
Software 構成分析（SCA）は、現代のアプリケーション・セキュリティ・プログラムの基礎的な要素である。オープンソースコンポーネントの普及は、機能性や迅速な開発という点では非常に有益ですが、それ自体がセキュリティ上の課題をもたらしています。
すべてのSCAツールが同じレベルの有効性や洞察力を持っているわけではないことを理解することが極めて重要である。ソフトウェア開発の進化に伴い、SCAソリューションは開発者中心のアプローチを採用する必要がある。
要するに、SCAツールが今日の速いペースの開発環境で真に効果的であるためには、2つの主要な利害関係者に対応する必要がある：
開発チーム
SCAソリューションは、既存のワークフローに容易に統合できる、直感的で開発者に優しいツールを提供しなければならない。これにより、開発者は潜在的な脆弱性に警戒しながら、オープンソースコンポーネントのパワーを活用し続けることができる。
セキュリティチーム
開発者は、安全なコーディングの実践を確実にする上で極めて重要な役割を果たしますが、セキュリティチームは、彼らを指導し、訓練し、支援する監督と能力を持つべきです。最新の SCA ツールは、このコラボレーションを促進し、開発者がSDLC 全体を通じてシームレスにセキュリティプロトコルを織り交ぜるのを支援するために必要な洞察をセキュリティチームに提供します。
開発とセキュリティは絡み合っており、SCAはアプリケーション・セキュリティの要として登場した。しかし、すべてのツールと同様に、SCAソリューションの有効性は、最新のワークフローへの適応性に大きく依存する。
DevSecOpsにおけるSBOMの重要性
Software 部品表（Software ）は、DevSecOpsパラダイムにおいて不可欠なコンポーネントである。SBOMは、オープンソースのライブラリから商用コンポーネントまで、アプリケーションで使用されるすべてのコンポーネントの詳細なインベントリを提供する。この透明性は、いくつかの理由から極めて重要である：
Vulnerability Management
完全なSBOMがあれば、組織は既知の脆弱性を持つコンポーネントを使用しているかどうかを迅速に特定することができ、迅速な修復が容易になる。
コンプライアンスとライセンス
SBOMは、組織がソフトウェア・コンポーネントのライセンス条項を遵守することを保証し、潜在的な法的問題を回避する。
Supply Chain セキュリティ
サプライチェーンへの攻撃がますます蔓延する中、包括的なSBOMを持つことは、ソフトウェア・コンポーネントの完全性を検証し、それらが改ざんされていないことを確認するのに役立つ。
リスク管理
正確なSBOMは、組織が自社のリスク態勢をよりよく理解し、コンポーネントの使用やリスクの受容に関して、情報に基づいた意思決定を可能にする。
要するに、SBOM は、DevSecOps プロセスに透明性、制御、およびプロアクティブなセキュリティ管理をもたらし、安全で効率的なソフトウェア開発を保証する。
アプリケーション・セキュリティ・テストの方法
開発チームは、アプリケーション・セキュリティ・テストにこれらの方法を利用することができる。
静的アプリケーション・セキュリティ・テスト（SAST）
静的アプリケーションセキュリティテスト（SAST）は、しばしば、「ホワイトボックス」テストと呼ばれ、アプリケーション自体を実 行することなく、アプリケーションのソースコード、バイトコード、あるいは、バイナリコードのセキュリティ脆弱性を分析するテス ト手法です。SAST の主な目的は、開発ライフサイクルの早い段階で脆弱性を特定し、アプリケーションが本番稼動に入る前に、脆弱性 に対処できるようにすることです。
動的アプリケーション・セキュリティ・テスト（DAST）
動的アプリケーション・セキュリティ・テスト（DAST）は、実行状態のソフトウェア・アプリケーションを能動的にスキャンし、テストすることで、ソフトウェア・アプリケーションのセキュリティを評価するセキュリティテスト技法です。DASTは、アプリケーションを外側から評価することに重点を置き、実際の攻撃をシミュレートし、脆弱性を特定するためにアプリケーションの動作と応答を分析します。
DAST にはいくつかの限界があることは注目に値する。アプリケーションの動的な性質と、起こりうるすべての攻撃シナリオを正確にシミュレートすることの難しさのために、DAST は偽陽性または偽陰性を生成する可能性があります。したがって、包括的なセキュリティ評価のために、DAST を、静的アプリケーションセキュリティテ スト（SAST）や対話型アプリケーションセキュリティテスト（IAST）のような、他のセキュリティテスト技法と組み合わせることを推奨します。
インタラクティブ・アプリケーション・セキュリティ・テスト（IAST）
IAST は、動的アプリケーションセキュリティテスト（DAST）と静的アプリケーションセキュリティテスト（SAST）の両方の側面を組 み合わせたセキュリティテスト技法であり、ソフトウェアアプリケーションの脆弱性とセキュリティ上の欠陥を特定します。
従来のセキュリティテスト手法とは異なり、IAST は、アプリケーション内の計測器や監視機能を利用して、実行時にセキュリティの弱点に関するリアルタイムのフィードバックを提供します。IAST は、潜在的なセキュリティ脆弱性を特定するために、アプリケーションの動作、入力、および、出力を能動的に監視し、分析します。
IAST は、組織のアプリケーション・セキュリティ・テスト戦略にとって貴重な追加要素であり、脆弱性を特定し、ソフトウェア・アプリケーションのセキュリティ体制を強化するのに役立ちます。
結論
ソフトウェア開発の世界では、DevOpsとDevSecOpsのどちらを選択するかは、組織独自のニーズと優先順位によって決まります。DevOpsは、コラボレーションと効率性を重視し、より迅速なデリバリーと品質の向上を可能にします。DevSecOpsは、開発プロセス全体を通じてセキュリティを統合し、プロアクティブに脆弱性を特定して緩和することで、さらに一歩進んでいます。
DevOpsとDevSecOpsは、相互に排他的な選択ではない。組織はDevOpsを採用し、セキュリティの優先順位が高くなるにつれて徐々にDevSecOpsに移行することができる。
コラボレーション、効率性、セキュリティの適切なバランスを取ることは、ソフトウェア開発プロセスの潜在能力を最大限に引き出し、安全で高品質なソリューションを提供するための鍵となります。
よくある質問（FAQ）
Q: DevOpsとDevSecOpsは共存できますか？
A: その通りだ。実際、DevSecOpsは本質的に、セキュリティをより重視したDevOpsです。
Q: DevSecOpsはDevOpsより優れていますか？
A：必ずしもそうではない。良い悪いではなく、あなたの組織のニーズと能力に合っているかどうかだ。もしあなたのビジネスにとってセキュリティが最重要なら、DevSecOpsの方が適しているかもしれない。
Q: DevSecOpsに必要なスキルは何ですか？
A: DevSecOpsでは、DevOpsの原則と幅広いセキュリティプラクティスの両方を深く理解する必要がある。自動化、CI/CD、クラウドセキュリティ、脅威モデリングなどのスキルは特に価値があります。
Q：開発プロセスにおいて、なぜセキュリティが重要なのでしょうか？
A: セキュリティ侵害は、企業に大きな財務的・風評的ダメージを与える可能性があります。組織は、セキュリティを開発プロセスに組み込むことによって、リスクを大幅に軽減することができます。
Q: DevOpsはソフトウェア開発をどのように強化するのですか？
A: DevOpsは、開発チームと運用チーム間のコラボレーションを促進し、プロセスを自動化し、継続的インテグレーションとデリバリーを実施することで、ソフトウェア開発を強化する。
Q: DevSecOpsはDevOpsをどのように改善するのですか？
A：DevSecOps は、開発プロセスのすべてのステップにセキュリティへの配慮を統合することで、DevOps を改善する。これにより、セキュリティ問題のリスクを低減し、問題に対処するためのコストを削減することができます。
Q: DevOpsとDevSecOpsで使用されるトップ・ツールにはどのようなものがありますか？
A: Jenkins、Docker、Kubernetes、Puppetは、DevOpsとDevSecOpsの両方で使用される脆弱性管理オールのトップクラスだ。
