DevSecOpsとは？

DevSecOpsとは、開発（Development）、セキュリティ（Security）、運用（Operations）の略で、ソフトウェア開発プロセスのごく初期段階からセキュリティ対策を行う方法論のことです。DevSecOpsの方法論では、自動化、知識共有の文化、そしてプラットフォーム設計の慣行を組み合わせて、セキュリティをITライフサイクル全体に統合できるようにします。DevSecOpsでは、チーム間でセキュリティに対する責任を共有し、脆弱性の特定と修正のプロセスをより迅速に効率化することを目指します。

可視化、フィードバック、潜在的なマルウェアやデータ漏えいなどの既知の脅威を共有することで、DevSecOpsはすべてのチームがセキュリティを念頭に置いて開発からプロダクションまで作業できるよう支援します。

DevSecOpsは、ソフトウェア開発サイクルの各段階にセキュリティを自動的に統合することで機能します。DevSecOpsは、アプリケーションとインフラストラクチャーのセキュリティを、アジャイルとDevOpsのソフトウェア開発で使われるプロセスとツールに統合します。

アジャイル開発は反復的かつ増分的な開発アプローチで、チームのコラボレーションに重点を置きます。DevOps（開発および運用）は、CI/CD（継続的インテグレーション、継続的デリバリー/デプロイメント）サイクルを使用してデリバリーのパイプラインを自動化することにより、ワークフローの最適化を目指す方法論です。

アジャイルとDevOpsはどちらもプロセス最適化のための方法論であり、デリバリーサイクルを迅速化し、増分的かつ高頻度のリリースを保証し、継続的なフィードバックループを維持し、遅延を削減することを目的としています。セキュリティがソフトウェア開発サイクルの初期に統合され、さらにそのすべての段階に統合されると、DevSecOpsが実現したことになります。

文化のシフト
DevSecOpsは、セキュリティの統合を、組織レベルで全員の責任とすることによって実現します。IT運用チーム、開発チーム、そしてセキュリティチームが連携することで、DevSecOpsはセキュアなソフトウェアデリバリーの自動化を"より安全に、より早く"実現します。

セキュリティの考慮事項を"左にシフト"させる、つまり開発サイクルの初期にシフトさせることで、DevSecOpsはセキュリティホールを早期に特定し、パッチを適用することで、後の本番環境でより深刻な問題が発生するのを確実に防止します。

自動化
DevSecOpsは、自動化を用いてセキュリティテスト、脆弱性評価、およびデプロイプロセスを行います。その際、DevSecOpsはコード、構成、インフラストラクチャーをスキャンできる自動化ツールを使用します。自動化により、包括的な可視性を確保し、効率を高め、デリバリーを迅速化し、一貫性のある反復可能なセキュリティチェックが可能になります。

プロセス
DevSecOpsは、開発プロセスの各段階にセキュリティを実装します。これは次のように行われます。

• 自動テスト：開発とデプロイの各段階で自動化されたセキュリティテストを実施し、製品やソフトウェアの安全性を確保します。
• 継続的な監視：サイクルの各段階で、セキュリティチームがコードの脆弱性を監視します。
• フィードバックループ：開発、運用、セキュリティの各チーム間のサイロを取り払う共同作業環境により、開発チームはセキュリティ上の問題に迅速に対処することが可能になります。

DevSecOpsが重要であるのは、企業がより多くのソフトウェアをより速いペースで、より複雑な環境で生産するにつれて、セキュリティ上の欠陥が発生する可能性が指数関数的に高まるからです。コードがリリースされるスピードが速くなると、パイプラインの下流でセキュリティの脆弱性が増加することになります。

クラウドネイティブのテクノロジーは、静的なセキュリティポリシーには適していません。その構造と構成要素は、サーバーレス、マイクロサービス、マイクロサービス内のコンテナなど、しばしば開発者に高い柔軟性をもたらしますが、セキュリティの観点からは複雑さが増すことにもなります。クラウドセキュリティの重要性は、高速なイテレートの必要性の高まりとサイバーセキュリティへの懸念の増大とともに、DevOpsがその適応を余儀なくされていることを意味します。このような新しい開発の背景が、DevSecOpsが貴重かつ必要となっている理由です。

さらに、効率を高め、より優れたソフトウェアセキュリティを確保するDevSecOpsは、ユーザーにとっても重要なものです。より安全な製品をより迅速に提供することは、顧客満足度を高め、それが収益にも影響します。DevSecOpsは、より事前予防的なセキュリティ体制をサポートすることでコンプライアンスの合理化を支援するだけでなく、提供するサービスや製品においてセキュリティが最重要であることを顧客に示すことにもなります。

DevSecOpsは開発ライフサイクルのさまざまな段階にメリットをもたらし、ひいては顧客満足度にもプラスの影響を与えます。主なメリットには次のようなものがあります。

• セキュリティ体制の改善：DevSecOpsのセキュリティ体制は、本質的に事前予防的なものです。DevSecOpsがプロセスのすべての段階にセキュリティを統合することで、チームは時間のかかる高コストな問題が発生する前に、セキュリティの脆弱性を早期に特定して解決することができるようになります。事前予防的なセキュリティのアプローチをとることで、業務の中断や壊滅的な被害を招くデータ侵害やサイバー攻撃のリスクを低減することができます。
• 脅威への迅速な対応：事前予防的なアプローチをとることで、DevSecOpsは早い段階でセキュリティホールを取り除き、ソフトウェアやアプリケーションが稼動時に脆弱となる可能性のある脅威を抑えます。これにより、セキュリティプロセスが合理化され、脅威への迅速な対応が可能になります。さらに、自動化が早期発見と低減を助け、パッチやアップデートの迅速なデプロイを確実にし、攻撃可能な範囲を最小化します。これにより、安全な統合とデプロイやデリバリーサイクルを確保することができます。
• サイロの解消：DevSecOpsは、開発、セキュリティ、運用の各チーム間のコラボレーションを奨励し、促進します。このコラボレーションによって各チームがサイロを取り払い、迅速で安全なソフトウェアデリバリーを成功させるという共通の目標を達成できるようになります。
• 可視性の向上：昨今の複雑でハイブリッド、かつクラウドネイティブな技術スタックの健全性と効率性の鍵を握るのは、全体的な可視性、つまりオブザーバビリティです。開発プロセスのすべての段階で、機能性、アプリケーションのパフォーマンス、リソースの使用状況、セキュリティの観点から可視性を向上させることは、オブザーバビリティソリューションの成功にとって極めて重要であり、ひいては健全で最適化された、セキュアなデジタル環境にとっても極めて重要です。
• 準拠：DevSecOpsは、コンプライアンスチェックを開発パイプラインに統合します。これにより、プロセスのあらゆるステップで、組織がジオロケーション固有の規制や規格を確実に遵守できます。
• 市場投入までの時間短縮：セキュリティをDevOpsサイクルに統合することで、DevSecOpsは、従来のようにセキュリティが開発プロセスの後回しになることで発生していたセキュリティのボトルネックを解消します。また、DevSecOpsで自動化を用いることで、手作業による介入を減らすことができます。その結果、製品やアップデートの市場投入までの時間が短縮されます。DevSecOpsによってもたらされる市場投入までの時間短縮と事前予防的セキュリティは、コスト削減にも効果を発揮します。より迅速なデプロイは効率と生産性の向上をもたらし、事前予防的なセキュリティはセキュリティ侵害、ダウンタイム、緊急修正を確実に低減します。
• システムのレジリエンスと適応プロセス：継続的な監視とテストによって脆弱性を特定し対処するDevSecOpsは、システムのレジリエンスを構築するのに役立ちます。DevSecOpsは組織とそのセキュリティニーズとともに成長できる適応的なプロセスであり、システムのレジリエンスにさらに貢献します。脅威に応じて進化し、ニーズに合わせてスケールできるシステムこそが、レジリエントなシステムです。

DevSecOpsの実装は、メリットがある一方で、いくつかの潜在的な課題を抱える可能性があります。

チームを参加させる
DevSecOpsは単なる新しいツールではなく、文化の転換です。どのような文化の転換でも、特にチームが慣れ親しんできた仕事のやり方に影響が及ぶ場合、抵抗が生じる可能性があります。DevSecOpsはサイロを取り払うことを目的としているため、運用チームや開発チームはセキュリティも自分たちの関心事であり責任でもあるという概念を受け入れる必要があります。

チームを参加させるという課題の他の側面として、新しいスキルセットを開発する必要性が挙げられます。開発チームと運用チームはセキュリティスキルを習得する必要があり、その逆も必要です。これはリソースがかかることであり、組織によっては、このような新しいスキルを有する人材の発掘や育成に苦心することもあります。DevSecOpsの実装を成功させるためには、トレーニングと教育が重要な要素となります。

新しいテクノロジーの統合
DevSecOpsの鍵となる自動化には、セキュリティテストと監視のための新しいツール群が必要です。こうしたツールは現在の環境と互換性を持たせる必要があり、ITDMとそのチームの双方にとっては時間とリソースが多くかかります。自動化にも時間がかかります。DevSecOpsのワークフローを成功させるには、構成し、テストし、その後も保守が必要となります。ツールの統合とよく似て、自動化にはスキルの追加やチームの再編成が必要であり、組織によっては課題となり得ます。

コンプライアンスの達成
コンプライアンスは最終的にDevSecOpsのメリットとなるものの、俊敏性を犠牲にすることなくそこに到達することが課題となることがあります。そのため、規制へのコンプライアンスを確保しながら俊敏性を維持するには、さらなるレベルの専門知識、あるいはチームのさらなる引き上げが必要になります。

こうした課題は組織にDevSecOpsの採用を敬遠させるかもしれませんが、DevSecOpsという手法の論拠ではあります。このような課題を克服し、問題解決するためにチーム横断的なコラボレーションを確立することが、採用を成功させ、ワークフローをうまく実装するための鍵となります。

DevOpsとは、開発と運用の頭文字をとったもので、開発チームと運用チームの間の従来のサイロを取り除き、製品とアップデートのデプロイを迅速化し、より効率的で全体的なワークフローを実現するためにチーム間のコラボレーションを強化する包括的な文化を指します。

DevSecOpsは、セキュリティチームのサイロをさらに取り除き、DevOpsのコラボレーション文化に第三の腕を加えたものです。DevOpsでは、セキュリティが開発の最終段階に切り離されているのに対し、DevSecOpsでは、セキュリティが開発サイクルの最初から最後までプロセスに統合されています。

DevSecOpsの目的で利用できるツールがいくつか市場に出回っていますが、自分の組織に適したものを選ぶ際に念頭に置いておきたい機能があります。

1. 現在のシステムやワークフローとシームレスに統合できるツールを見つける。
2. すべてのログ、メトリック、アプリケーションパフォーマンス、セキュリティの完全なオブザーバビリティを提供できるツールを探す。
3. CI/CDパイプラインのすべてのステップを監視、測定、分析できるツールを探す。
4. デプロイとコンテナのオーケストレーションを保護、監視、レポートするツールを探す。
5. 規模に合わせてスケールできるツールを探す。

DevSecOpsのメリットを十分に享受するために、開発・運用ワークフローにセキュリティを組み込むベストプラクティスをご紹介します。ぜひ参考にしてください。

左にシフト
これはDevSecOpsのモットーであり、マントラでもあります。セキュリティを開発プロセスの最初にシフトさせることで、セキュリティがワークフローの不可欠な要素となり、開発プロセス全体に組み込まれるようになります。

"左にシフト"することで、チームは脆弱性を早期に発見し、後に重大な問題となる前に対処することができます。その結果、開発チームはアプリケーションの構築と同時にセキュリティの実装を考えるようになります。

トレーシング、監査、監視の実装
トレーサビリティ、監査適合性、可視性を導入することは、より深い洞察に結びつくため、DevSecOpsプロセスを成功させる鍵となります。より深い洞察により実用的な情報を得ることで、システムの効率性、回復力、そして全体的な生産性を向上させることができます。トレーシングは主にデバッグのためのものですが、アプリケーション開発におけるコードのセキュリティ確保や規制要件へのコンプライアンス確保においても重要な役割を果たします。

技術、手続き、および事務におけるセキュリティ管理策を監査することは、コンプライアンスにおいて重要です。適切に文書化された管理策をすべてのチームメンバーが遵守することが極めて重要です。

監視はDevSecOps環境の鍵です。システムと開発ライフサイクル全体を可視化することが、セキュリティにとって極めて重要です。アラートの実装も、チームの説明責任を明確にし、問題への迅速な対応を可能にするとともに、全体として各チームの作業がどのように交差しているかを理解するのに役立ちます。

人、プロセス、テクノロジーを考える
DevSecOpsの実装は人材、つまり文化から始まります。文化を変え、チームにDevSecOpsを受け入れてもらうためには、教育が重要な要素です。転換を成功させるには、強力で優れたリーダーシップが必要です。

考え方の転換はプロセスの転換に影響します。これは、セキュリティを"左にシフト"するために必要なことです。DevSecOpsプロセスの実装には、新しいツールやさらなる自動化も必要になる可能性があります。

何はなくともトレーニング
DevSecOps戦略の採用の一環として、しっかりしたトレーニングを組み込む必要があります。開発者とセキュリティ専門家が、必ずしも互いのスキルを持ち合わせているとは限りません。文化と価値観の観点と、スキル・知識・ツールの観点の両方から教育を行うことで、どのような組織でも確実にDevSecOpsの実装を成功させることができます。

DevSecOpsとElasticは緊密な関係にあります。ELKの技術スタックにより、Elasticはお客様のすべてのデータを統合し、DevSecOpsをより効率的に連携させるためにシステムの監視やトラブルシューティングを支援します。

• Elasticセキュリティソリューション 
• Elasticオブザーバビリティソリューション 
• Elastic検索ソリューション 

• DoD + DevSecOps：A path toward speed and agility（DoD + DevSecOps：スピードと俊敏性への道）
• Understand the future trends of DevSecOps（DevSecOpsの今後のトレンドを理解する）
• Make the case with C-Suite for the importance of DevSecOps（DevSecOpsの重要性を経営幹部に訴える）
• Learn how to enable DevSecOps with the Elastic Stack（Elastic StackでDevSecOpsを実現する方法を学ぶ）