owasp/devsecopsguidelineOWASP DevSecOpsガイドラインは、開発パイプラインの一部としてセキュリティを組み込むのに役立ちます。
OWASP DevSecOps ガイドラインは、安全なパイプラインを実装し、ベストプラクティスを活用し、そのために使用できるツールを導入する方法を説明します。また、本プロジェクトは開発プロセスにおいてシフトレフトセキュリティ文化を推進することを支援しようとしています。 本プロジェクトは、開発パイプラインを持つ、言い換えれば DevOps パイプラインを持つ、あらゆる規模の企業を支援します。 本プロジェクトを通じて、安全な DevOps パイプラインの展望を描き、その後、カスタマイズされた要件に基づいて改善を試みます。
理想的な目標は、**「セキュリティ問題(設計またはアプリケーションの脆弱性によるもの)を可能な限り早期に検出すること」**です。
本ガイドラインは、3つの柱を中心に構成されています。
現在の版は 2025/2026 向けに刷新され、NIST SSDF、OWASP SAMM、OWASP DSOMM、SLSA などのフレームワークに準拠しています。以下の目次を参照するか、最新版をご覧ください。
DevSecOps とは、セキュリティを DevOps に組み込むことです。しかし、CI/CD のペースについていくためには、セキュリティをソフトウェアの記述とテストの早い段階に注入する必要があります。
OWASP Proactive Controls は、あらゆるアプリケーションをコーディングする際にすべての開発者が実装すべきトップ10のセキュリティコントロールを挙げています。DevSecOps サイクルにおいてコードを設計、記述、テストする際の出発点として、このセットを考慮してください。
また、OWASP Software Assurance Maturity Model (SAMM) に従って、成熟度レベルに応じてセキュリティ要件(およびそれ以上)について何を考慮すべきかを確立することもできます。
まず、基本的なパイプラインに以下のステップを実装することを検討します。
パイプラインのステップは、ソフトウェア開発ライフサイクル (SDLC) やソフトウェアアーキテクチャに応じてカスタマイズでき、始めたばかりであれば自動化を段階的に追加できます。 例えば、SAST/DAST からセキュリティコントロールを組み込んだ通常のテストスイートに切り替えたり、既知の脆弱な依存関係をチェックする監査スクリプトを追加したりできます。
CI/CD は SecOps にとっての利点であり、セキュリティ対策とコントロールの特権的なエントリポイントです。 ただし、自動化を提供するために CI/CD ツールを使用する場合、ツール自体が攻撃対象領域を拡大することが多いことに留意し、ビルド、デプロイ、自動化ソフトウェアにセキュリティコントロールを施してください。
