サイバーセキュリティの実現方法：スピードが重要な理由

開発速度（ベロシティ）はDevSecOpsの1つの柱です。自動化の力によって、DevSecOpsチームは開発者がコードを変更してから、その変更がデプロイされるまでの期間を劇的に短縮できます。その期間が評価尺度として用いられることもあります。「開発チームがコミットしてから4分でデプロイに移行できます」とか、「1日に6回デプロイを行います」といった具合に。

物事が迅速に進行することは好ましいことですが、DevSecOpsで迅速化を目指す理由を正しく認識しておく必要があります。

セキュリティ用バッテリーの組み込み

セキュリティはどこに存在するかというと、ソフトウェア開発の各フェーズに組み込まれています。スプリントの計画、設計、開発、テストの一部に組み込まれている必要があります。ウォーターフォール型開発でも各フェーズに組み込まれていてしかるべきでしたが、従来、セキュリティは軽視されたり、全く無視されたりしていました。セキュリティが組み込まれていたとしても、多くの場合、リリース前に克服すべき関門として開発サイクルの最後に取り入れられていました。

ソフトウェア開発にセキュリティを組み込むという発想は新しいものではありませんが、DevSecOpsでは話が変わってきます。ソフトウェアの構築、パッケージ化、デプロイのタスクが高度に自動化されている場合、セキュリティはこのシナリオにどのような形で組み込めばよいでしょうか。

答えは、適切なタイミングで適切なテストを行うということです。これは、ほとんどの場合、必要な成果物が利用可能になり次第、開発サイクルの一番左（最初）の時点でセキュリティツールを自動化することを意味します。たとえば、静的テストはソースコード上で実行します。したがって、セキュリティは開発者のデスクトップのパイプラインに統合され、コードがソースコードのリポジトリにプッシュバックされたときに実行する必要があります。オープンソースおよびサードパーティーコンポーネントを管理するには、ソフトウェア・コンポジション解析を同時点で統合する必要があります。ファジングテストは、バイナリが利用可能になり次第、統合する必要があります。

さらに、セキュリティテストはコンテキストに基づいて最適化する必要があります。開発者がコードの変更をコミットすると、自動的に変更が解析され、適切な種類とレベルのセキュリティテストが選択されます。たとえば、静的解析では、常にすべてのコードをスキャンする必要はありません。多くの場合、差分解析で十分です。テストの適切なレベルを決定して自動的に調整することが自動化の目標です。

また、一部のセキュリティテストは常に非同期的に実行する必要があります。これには総合テスト、拡張ファジングテスト、レッドチームなどのアクティビティが該当します。リリースゲートは、自動テストと非同期テストの結果の組み合わせで設定する必要があります。