DevSecOps（デブセックオプス）とは、 ソフトウェア開発の「開発（Development）」「セキュリティ（Security）」
「運用（Operations）」を統合する考え方です。 DevOps（デブオプス）から派生した概念であり、セキュリティを融合させ、
迅速かつ安全性の高い開発を目指すことが目的です。

DevOpsとは

DevSecOpsを説明する上で、まずはDevOpsから理解をする必要があります。
DevOpsとは、Development（開発）とOperation（運用）を組み合わせてできた言葉です。
文字の通り、開発担当者と運用担当者が協力をして、システムの価値を継続的に向上させるための概念です。

DevSecOpsができた背景

近年、DevOpsやアジャイルといった開発手法が広まりを見せています。
アジャイル開発は、要件や仕様の優先順位に基づき作業を細かく分割し、それらを短期間で繰り返し進める方法です。
これらの手法を組み合わせることで、開発期間の短縮と品質の向上が期待できます。
しかし、頻繁なリリースに伴い脆弱性テストを実施すると、工数増加により開発スピードが低下してしまうという問題もあります。
この問題に対応するために、セキュリティ対策を開発プロセス全体に組み込む「DevSecOps」という考え方が生まれました。

DevSecOpsのメリット

DevSecOpsでは、セキュリティ対策が開発サイクルの中に組み込まれており、問題が発覚した際に早期に対応することができます。
もし製品のリリース直前に脆弱性が見つかった場合、対応できる時間が限られているため、対処が困難になることが多いです。
この手法を採用することで、開発プロセスにおける安心感が高まり、製品の品質向上やリリースの迅速化にもつながります。

DevSecOps実現の為に必要な要素

DevSecOps実現に必要な要素は下記４項目となります。

１、セキュリティ対応を自動化するツールの導入・運用

具体的にツールを４つまとめました。

SAST（Static Application Security Testing）

ソースコードやバイナリを静的に解析することで脆弱性を早期に発見する手法です。
開発初期やコード記述の段階で実行することで、後工程での修正コストを抑える効果があります。
またCI/CDパイプラインへの組み込みにも適しています。

SCA（Software Composition Analysis）

オープンソースソフトウェア（OSS）や外部ライブラリに含まれる既知の脆弱性や
ライセンスリスクを検出するための分析手法です。
ビルド時やデプロイ前に実施することで、外部コンポーネント由来のリスクを事前に把握し、対処することができます。

DAST（Dynamic Application Security Testing）

実行中のアプリケーションに対して外部から攻撃をシミュレートすることで、ランタイム上の脆弱性を検出する手法です。
テスト環境やステージング環境で動作中のアプリケーションに対して行われ、
実際の挙動をもとにしたセキュリティ評価が可能です。

IAST（Interactive Application Security Testing）

アプリケーションにセンサーを組み込んで実行中の挙動を監視しながら脆弱性を検出するアプローチです。
SASTとDASTの特長を併せ持ち、実行環境に即した高精度な診断が可能となるため、
テスト中や実行中のフェーズでのセキュリティ対策として有効です。

これらのツールを組み込むことで、DevSecOpsの運用を支援することができます。

２、開発フローの見直しと最適化

CI/CDパイプライン(ソフトウェア開発からリリースまでの一連の工程を自動化し、効率化する仕組み)を導入することで、
プログラムのビルド・テスト・デプロイが自動化され、開発からリリースまでのプロセスが短縮されます。
これにより、変更や改善への迅速な対応が可能になります。

３、組織体制と文化の形成

失敗を前向きに捉え、継続的な改善につなげる柔軟な組織文化が求められます。
各部門の密な連携と、円滑な情報共有を行うことも重要です。

４、全社的なセキュリティ意識の共有と定着

セキュリティを全員の共通の責任として意識することが求められます。

弊社関連製品のご紹介

DevSecOpsを取り入れる上で有効な弊社製品をご紹介いたします。

Wind River Studio Linux Services  ＜製品ページ＞

組込みLinuxプラットフォームの設計、実装、セキュリティ対策、ライフサイクルの管理を提供する サービス
ニーズに応じた５つのサービスで、Linux開発・運用で直面する課題を解決

SecDevice  ＜製品ページ＞

IoT製品/IIoTデバイス製品全般が対象
自動化検査及びテスト記録レポートを生成
ファジングテストで未知の脆弱性を確認
特許取得のスマート検証手法による高精度・時間短縮

SecSAM  ＜製品ページ＞

ソースコード不要でOSSモジュール分析が可能
SBOMを採用、管理と同時にリスクの追跡にも対応
コンポーネントのライセンスチェック機能

wolfSSL製品 ＜製品ページ＞

セキュリティ専門ベンダーの製品として最新プロトコル標準に対応し、世界中の組み込み製品で利用
組み込み機器やリソース制約のある環境向けに最適化されたSSL/TLSライブラリ
物理層、暗号アルゴリズム層、トランスポート層、アプリケーション層の各層で製品を展開

まとめ

DevSecOpsは、DevOpsの考え方を発展させたもので、
セキュリティを重視しながら開発プロセスの効率化と品質向上を図るアプローチです。
組織全体の文化を変化させていく必要があり、課題も多いですが、
迅速かつ安全なソフトウェア開発を実現することができます。
その結果、継続的な改善と自動化を通じて、高品質かつ信頼性の高い製品のリリースが可能になります。

本文中に記載されている会社名、製品名等は、各社の登録商標または商標です。