owasp/devsecopsguidelineOWASP DevSecOpsガイドラインは、開発パイプラインの一部としてセキュリティを組み込むのに役立ちます。
OWASP DevSecOps Guideline は、セキュアなパイプラインを実装する方法とベストプラクティスの活用方法を説明し、この分野で使用できるツールを紹介します。また、このプロジェクトは、開発プロセスにおけるシフトレフト・セキュリティ文化の促進を支援することを目的としています。 このプロジェクトは、開発パイプライン、言い換えれば DevOps パイプラインを持つ、あらゆる規模の企業を支援します。 このプロジェクトでは、セキュアな DevOps パイプラインの展望を描き、それをカスタマイズした要件に基づいて改善することを目指しています。
理想的な目標は、**「セキュリティ上の問題（設計起因またはアプリケーションの脆弱性）をできるだけ早期に検出すること」**です。
DevSecOps とは、まさに DevOps にセキュリティを組み込むことです。しかし、CI/CD のペースに追いつくためには、セキュリティをソフトウェアの記述とテストの早い段階に注入する必要があります。
OWASP Proactive Controls は、あらゆるアプリケーションをコーディングする際にすべての開発者が実装すべき上位 10 のセキュリティコントロールを列挙しています。DevSecOps サイクルでコードを設計、記述、テストする際には、このセットを出発点として検討してください。
また、OWASP Software Assurance Maturity Model (SAMM) に従って、成熟度レベルに応じてセキュリティ要件（およびそれ以外）について何を考慮すべきかを確立することもできます。
まず、基本的なパイプラインに以下のステップを実装することを検討します：
パイプラインのステップは、ソフトウェア開発ライフサイクル（SDLC）やソフトウェアアーキテクチャに応じてカスタマイズでき、導入を開始する場合は自動化を段階的に追加することもできます。 例えば、SAST/DAST から、セキュリティコントロールが組み込まれた通常のテストスイートに切り替えたり、既知の脆弱性のある依存関係をチェックする監査スクリプトを追加したりできます。
CI/CD は SecOps にとっての利点であり、セキュリティ対策とコントロールのための特権的なエントリーポイントです。 ただし、自動化を提供するために CI/CD ツールを使用する場合、ツール自体が攻撃対象領域（アタックサーフェス）を拡大することが多いことを念頭に置き、ビルド、デプロイ、自動化ソフトウェアにセキュリティコントロールを適用してください。
OWASP ウェブサイトのプロジェクトページは、OWASP DevSecOps Guideline Project でご覧いただけます。
