OWASP DevSecOps Guideline

OWASP DevSecOps Guideline は、セキュアなパイプラインを実装する方法とベストプラクティスの活用方法を説明し、この分野で使用できるツールを紹介します。また、このプロジェクトは、開発プロセスにおけるシフトレフト・セキュリティ文化の促進を支援することを目的としています。 このプロジェクトは、開発パイプライン、言い換えれば DevOps パイプラインを持つ、あらゆる規模の企業を支援します。 このプロジェクトでは、セキュアな DevOps パイプラインの展望を描き、それをカスタマイズした要件に基づいて改善することを目指しています。

理想的な目標は、**「セキュリティ上の問題（設計起因またはアプリケーションの脆弱性）をできるだけ早期に検出すること」**です。

最初のステップ

DevSecOps とは、まさに DevOps にセキュリティを組み込むことです。しかし、CI/CD のペースに追いつくためには、セキュリティをソフトウェアの記述とテストの早い段階に注入する必要があります。

OWASP Proactive Controls は、あらゆるアプリケーションをコーディングする際にすべての開発者が実装すべき上位 10 のセキュリティコントロールを列挙しています。DevSecOps サイクルでコードを設計、記述、テストする際には、このセットを出発点として検討してください。

また、OWASP Software Assurance Maturity Model (SAMM) に従って、成熟度レベルに応じてセキュリティ要件（およびそれ以外）について何を考慮すべきかを確立することもできます。

パイプラインに追加すべきもの

まず、基本的なパイプラインに以下のステップを実装することを検討します：

• Git リポジトリをスキャンして、潜在的な認証情報の漏えいを検出します。
• SCA（ソフトウェア構成分析 / Software Composition Analysis）
• SAST（静的アプリケーションセキュリティテスト / Static Application Security Test）
• IaC スキャン（Terraform、HelmChart コードをスキャンして設定ミスを検出）
• ソフトウェアサプライチェーンセキュリティ（SBOM、アーティファクト署名と来歴（provenance）、CI/CD パイプラインセキュリティ）
• IAST（対話型アプリケーションセキュリティテスト / Interactive Application Security Testing）
• API セキュリティ
• DAST（動的アプリケーションセキュリティテスト / Dynamic Application Security Test）
• CNAPP（クラウドネイティブアプリケーション保護 / Cloud Native Application Protection）
• インフラストラクチャスキャン
• 他のツールによる継続的スキャン
• コンプライアンスチェック
• AI/LLM セキュリティと AI ガバナンス（AI 支援開発と AI 搭載機能のセキュリティ確保）

パイプラインのステップは、ソフトウェア開発ライフサイクル（SDLC）やソフトウェアアーキテクチャに応じてカスタマイズでき、導入を開始する場合は自動化を段階的に追加することもできます。 例えば、SAST/DAST から、セキュリティコントロールが組み込まれた通常のテストスイートに切り替えたり、既知の脆弱性のある依存関係をチェックする監査スクリプトを追加したりできます。

CI/CD は SecOps にとっての利点であり、セキュリティ対策とコントロールのための特権的なエントリーポイントです。 ただし、自動化を提供するために CI/CD ツールを使用する場合、ツール自体が攻撃対象領域（アタックサーフェス）を拡大することが多いことを念頭に置き、ビルド、デプロイ、自動化ソフトウェアにセキュリティコントロールを適用してください。

---

目次