開発現場で進むセキュリティのシフトレフト、無理なく統合・自動化するコツは

　製品やサービスの機能や差別化要因がソフトウェアに依存している中、いかに開発計画に支障なく、脆弱性などの軽減を図るかが大きな課題になっている。主流になりつつあるアジャイル開発では、変更スピードが速く、新規に追加されたコード部分を効率的に静的アプリケーションセキュリティテスト（SAST）ツールでテストするなど、新たな手法も試みられている。

　加えて、現代のアプリケーションではオープンソースコンポーネントが多く利用されることも変化を促している。ソフトウェアコンポジション解析（SCA）ツールを利用することで、バージョン情報を含めたオープンソースコンポーネントのインベントリを作成し、脆弱性情報と照合するなど、開発の早期段階からセキュリティリスク軽減措置を図る「シフトレフト」の動きが拡大しつつある。動的アプリケーションセキュリティテスト（DAST）においても、頻繁なソフトウェアのアップデートとテストの実施が課題だ。

　本資料では、「自動化と統合」によりDevOpsのスピードとアプリケーションセキュリティを両立するDevSecOpsについて解説。製品やサービスの開発にセキュリティを効率的に取り込むために、ぜひ参考にしてほしい。