DevSecOpsとは？DevOpsとの違い、メリット、課題、成功させるための要素を解説

DevOpsは、アジャイル手法やコラボレーション、自動化を活用してソフトウェア開発の断絶や機能不全を解消し、顧客にとっての価値を迅速に提供するビジネス主導のアプローチです。

従来、ソフトウェア開発チームとITオペレーションチームは別々の指標やリーダーの下で作業していましたが、DevOpsによって壁を取り払い、コミュニケーションや連携を促進します。その結果、高品質を維持しながらソフトウェアを継続的かつ迅速にリリースできるようになります。主な評価指標は顧客満足度と提供する価値です。

DevOpsがセキュリティの必要性を暗に含んでいるのに対し、DevSecOpsはソフトウェア開発ライフサイクル（SDLC）の各段階でセキュリティを中心的に取り入れる点が最大の特徴です。

DevSecOpsの場合、具体的には、脅威モデリングやセキュリティ・テストを設計時から導入し、開発者とセキュリティチームが早期かつ継続的にコラボレーションすることで、フローの最適化とリスク低減の両立を目指します。

最終的には顧客にとっての価値、コスト、リスクを最適化することが重要であり、DevOpsとDevSecOpsのどちらの用語を使用するにせよ、組織内で合意しやすい用語やアプローチを起点に導入を進めるとよいでしょう。

DevOpsおよびDevSecOpsの両者とも、開発とオペレーション（運用）にアジャイルや自動化を取り入れ、協調的に進めるアプローチです。理想的には、すべてのソフトウェアはセキュリティを考慮して開発されるため、DevOpsでもDevSecOpsでも開発者がセキュリティを常に念頭に置くことが求められます。

DevOpsではそれが暗黙的に行われますが、DevSecOpsでは明示的に組み込まれる点が異なります。いずれのアプローチでも、分断や思い込みではなく、整合性とコミュニケーション、継続的な問題解決を重視する姿勢に変わりはありません。

• リスク軽減
  初期段階でセキュリティを考慮することで、開発後半での手戻りを減らせます。結果として、デリバリ速度の向上、開発者のモチベーション維持、ユーザー満足度のアップなど多方面で効果が期待できます。
• 規制対応
  厳格な規制下にある業界や組織では特に、セキュリティとコンプライアンスの早期導入がビジネス継続に直結します。
• シフト・レフトとシフト・ライトの両立
  開発初期からのセキュリティテスト（シフト・レフト）と、運用段階での継続的な監視／修復（シフト・ライト）を両立させることで、ライフサイクル全体でのセキュリティ品質を向上させます。

ガートナーでは、現時点でDevSecOpsの要件をすべて満たす単一ツールは存在しないと分析し、統合的なDevSecOpsプラットフォームを基盤に必要な機能を補う形を推奨しています。

DevSecOps ツールチェーン (またはパイプライン) は、次の 2 つの主要コンポーネントを中心に構成されています。

1. Atlassian Bitbucket、GitHub、GitLab などのバージョン管理リポジトリ
2. ソリューションの構築、構成、展開、テスト、セキュリティ保護に必要な追加ツールを統合するための Atlassian Bamboo、CloudBees Jenkins、CircleCI、Travis CI などの継続的インテグレーション ツール
   

ただし、独自の DevSecOps ソリューションを構築すべきというわけではありません。ほとんどの組織では、アジャイルおよび DevOps プラクティスを使用して製品の継続的な提供を可能にする完全に統合された機能を提供する DevSecOps プラットフォームをソリューションの基盤とすることで、よりよい結果が得られます。

ニーズのほとんど (すべてではないにしても) をサポートするプラットフォームを選択し、必要に応じて追加のツールでプラットフォームを拡張します。非常に強力なビジネスニーズと組織のサポートがない限り、さまざまなアプリケーションを統合して独自の DevSecOps ソリューションを実装することはお勧めしません。