DevSecOpsとは？アプリケーションとソフトウェアの保護に本当に役立つのか？

新たなセキュリティ脅威は日々増加し続けており、それらへの対応はますます困難になっています。大規模なデータ漏洩から自社を守るためには、新たなイノベーションが不可欠です。対応を怠れば、私たち自身も組織も競争の中で淘汰されてしまうでしょう。「絶対的なセキュリティの実現は簡単で、決められた手順に従うだけでよい」と考えられがちですが、現実はほど遠いものです。データ保護は目的地ではなく、継続的な「旅」なのです。幸い、専門家たちはリスク管理のための新しいアプローチを次々と生み出しています。彼らはセキュリティ課題への対応を進化させるだけでなく、サイバーセキュリティの目標達成を支援する運用面での革新ももたらしています。DevSecOpsは、セキュリティ専門家にとって救いの存在として登場した新しいマインドセットなのです。

DevSecOpsとは？

DevSecOps（Development-Security-Operations：開発・セキュリティ・運用）とは、アプリケーションやソフトウェア開発のライフサイクルのできるだけ早い段階にセキュリティを組み込むことを目的とした文化的アプローチです。これにより脆弱性を最小限に抑え、セキュリティをビジネス目標へ一歩近づけることができます。簡単に言えば、ソフトウェアやアプリケーションの開発が進行している間、関係者全員がセキュリティに対して等しく責任を負うということです。こうすることでセキュリティは開発プロセスそのものに組み込まれ、開発完了後にコードへ大幅な修正を加える必要がなくなります。DevSecOpsは、シンプルなツールと低い参入障壁によって個々人を支援し、専門家たちが過度な労力をかけることなく共通の目標を達成できるようにします。

「そもそもなぜ必要なのか？」と疑問に思うかもしれません。しかし、確かに必要なのです。セキュリティを専任チームだけに任せることも可能ですが、開発チームはすでにコードを深く理解しており、問題の解決を最終段階まで先送りするのは得策ではありません。さらに、ITインフラは動的プロビジョニング、クラウドコンピューティング、共有リソースなど、大きなメリットをもたらす変化を遂げてきました。こうした変化を無視することはできないのです。だからこそ、このプラクティスは高く評価されています。DevSecOpsの利点は驚くほどシンプルです。初期段階からの自動化とセキュリティチェックを強化することで、誤設定や人的ミス（ダウンタイムや攻撃につながるもの）の発生確率が下がります。同時に、セキュリティアーキテクトがセキュリティコンソールを手動で設定する手間も減り、大きな負担軽減につながります。

関連記事：追跡から逃れることがなぜ不可能なのか？

DevSecOpsの3つの原則

DevSecOpsには価値ある原則や特徴が数多くありますが、ここでは特に重要な3つをご紹介します。

ポジショニング（Positioning）

DevSecOpsは、組織がより高いレベルのセキュリティを達成できるよう支援することを目指します。個々のセキュリティ上の欠陥を一つずつ特定して修正し、セキュリティギャップを埋めていきます。さらに、脆弱性となり得る懸念を事前に洗い出し、緩和策を検討することも可能になります。

頑健性（Ruggedness）

DevSecOpsは、コーディングに関わるすべての人に「頑健性」を求めます。完璧なコードは存在しないため、建設的なフィードバックを交わす文化を育むことが大切です。こうすることで、少なくとも攻撃者の一歩先を行く努力を続けられます。

状況認識（Situation Awareness）

DevSecOpsでは、常時のログ取得が必須です。例外なく、あらゆるリソースがログに記録されます。ログがなければ、暗闇の中で矢を放つようなもので、状況を制御できません。何が起きているのか、コードがどのように変更されているのかを把握してこそ、システムをコントロールし続けられるのです。

上記の図は、このプラクティスとどのように連携して作業を進めるかの大まかなイメージを示しています。しかし、ここで重要な疑問が生じます。果たしてこれこそが私たちの求めるソリューションなのでしょうか？

十分に効果的と言えるのか？

実際、開発・セキュリティ・運用の各チームを統合し、フィードバックループを短縮し、インシデントを削減し、責任の共有を通じてセキュリティを向上させた結果、良い成果を上げている組織もあります。企業と協働する専門家たちは、このプラクティスのおかげでより安全なコードをリリースできたと証言しています。一方で、コーディングにかかる時間は増加傾向にあるようです。セキュリティ対策は確実に強化されるものの、納期が迫る状況でこの手法を急に導入しても、必ずしも最良の選択になるとは限らないと専門家は語っています。

さらに、開発者とセキュリティ担当者が密に連携する必要があるため、双方にかかるプレッシャーも増します。調整には多くの時間を要し、チーム内の摩擦の原因になることもあります。

関連記事：アダプティブ認証でサイバーリスクをもっと減らす

まとめると、DevSecOpsにはまだ発展の余地が大きく残されており、高度にセキュアな環境の実現までには道のりがあります。皆さんはどうお考えですか？ぜひコメント欄でお聞かせください！