調査で知るDevOps課題：CI／CDワークフローへのセキュリティ統合はなぜ難しい？

　DevOpsが成熟期を迎えたことに加え、大規模なセキュリティインシデントが世界的に注目されたこともあり、継続的インテグレーション／継続的デリバリー（CI／CD）プロセスにセキュリティを統合する「DevSecOps」が加速している。この開発ライフサイクルに関して、大企業のIT意思決定者350人を対象に調査を行ったところ、多くの企業がワークフローへのセキュリティ統合を課題と認識しつつも、約半数がそのプロセスを実践できていないことが明らかになった。

　その背景には、インフラの大規模化、ソフトウェアリリースの高頻度化、1回のリリースにおけるコード変更量の増大といった課題により、スピードと反復が優先され、セキュリティが犠牲になっている現状がある。だが実際は、セキュリティを組み込むことでバグやダウンタイム、メンテナンスが減少し、リリースの迅速化につながる可能性があるという。

　そのためには、多くの企業が重視する単体／統合テストなどの対策ではなく、アプリケーションのセキュリティテストを統合したCI／CDインプリメンテーションが、ソフトウェア開発の初期段階で必要になってくる。本資料ではこのように、調査結果から見たDevSecOpsの現状と課題、その対処法を解説する。