たった４０分でわかるDevSecOpsの必要性〜DevSecOpsを実現する⽂化・技術・プロセスとは〜

2019年9⽉26⽇
SB C&S株式会社
佐藤和貴

⾃⼰紹介
会社︓SB C&S株式会社
部署︓ICT事業部 販売推進本部 技術統括部
テクニカルマーケティングセンター ビジネス開発課
⽒名︓佐藤 和貴 (さとう かずき)

業務内容およびミッション
・DevOpsおよびDevSevOps製品の販売⽀援を担当
・海外の新興系ベンダーの発掘し、⽇本市場での販売および普及・新規商材についてセミナーやイベントの開催

2

アジェンダたった４０分でわかるDevSecOpsの必要性
lDevOpsとは-デジタルトランスフォーメーションによる⾰命-現状のソフトウエア開発の課題
lセキュリティのボトルネック-現状のプロセス-⼈材不⾜
lDevSecOpsとは-⽂化・技術・プロセス-SB C&Sの取り組み

3

DevSecOpsとは?

DevOpsのプロセスにセキュリティ対策を組み込んだもの

そもそもDevOpsって何?

DevOps

開発者（Development）と運⽤者（Operations）が協調・連携しソフトウエアの開発、リリースをいち早く実施しようという概念、取り組み

Dev

Ops

アジェンダたった４０分でわかるDevSecOpsの必要性
lDevOpsとは-デジタルトランスフォーメーションによる⾰命-現状のソフトウエア開発の課題
lセキュリティのボトルネック-現状のプロセス-⼈材不⾜
lDevSecOpsとは-⽂化・技術・プロセス-SB C&Sの取り組み

8デジタルトランスフォーメーションによる⾰命

近年デジタルテクノロジー（IoT・AIなど）を駆使しビジネスが変⾰ビジネスの変⾰によって個⼈の⽣活や社会構造にまで影響がおよぶ

ITの果たす役割が変化時代にあった、変化に柔軟で品質の良いビジネスの価値を最⼤化し続ける

ソフトウエアを開発し続けること

ITはツール

ITは効率化の⼿段

ビジネス

ビジネス

IT
IT

2000年代Webサービス

2010年代ITが差別化の⼿段

ITで出来ることがビジネスの価値に直結= デジタルトランス
フォーメーションモバイル、クラウドサービス

2017年

IoT, AI, ロボティクス

10現在、さまざまなものがソフトウエア化している
デジタルトランスフォーメーションは業界を問わない

いかに早くソフトウエアを開発できるかが競合との差別化

ソフトウエアがリリースされるまでの流れ

企画

設計

開発

テスト

構築

デプロイ

リリース

保守
運⽤開発者
運⽤者
12

開発者・運⽤者それぞれの責務

開発者
急速な変化に対応し本番環境にできるだけ早く機能と変更を組み込みたい
アプリとサーバーをちゃんと動かすのがおまえの責任だろ。

ニケー
ュミコを阻害ン
ョ
シ

運⽤者
VS

顧客に対し安定していて信頼できるセキュアなサービスを提供
既存のサービスを変更したくない
なんでアプリをもっとちゃんとした品質で作らないんだよ。夜間コー
ルがんがん受ける
⾝にもなれよ。

ソフトウ
リリー エア
迅速性 スのを阻害現状だと・・・
開発チームと運⽤チームは縦割り組織→開発者はソフトウエアができたら丸投げ→問題が起きればお互いを⾮難し合う
13

このままではいけない
どうしたらいいのかDevOps

開発者（Development）と運⽤者（Operations）が協調・連携しソフトウエアの開発、リリースをいち早く実施しようという概念、取り組み• ビジネス価値の最⼤化を⽬的• 組織⽂化・技術・プロセスを変⾰※よくある誤解DevOps＝「特定の技術や開発ツールなどを利⽤すること」

Dev

Ops

今までDevOps

縦割り組織
アウトソース

⽂化

ソリューションチーム
インソース

オンプレミス
⼿動テスト

技術

クラウド
⾃動テスト

ウォーターフォール開発

プロセス(CI/CD、コンテナ)

アジャイル開発

DevOpsまとめ
DevOpsとはl ビジネスの価値を最⼤化することを⽬的とした概念
l 迅速かつ⾼品質なソフトウエア開発を実践するための取り組み

効果l 新製品、サービスをいち早くリリース=競合との差別化=企業価値の向上
l 変化の激しい市場にいち早く対応=顧客満⾜度の向上

成功要因

l ⽂化(ソリューションチーム、インソース)
l 技術(クラウド、⾃動テスト)
l プロセス(アジャイル開発)

Dev

Ops
18

何故DevSecOpsが求められるのかアジェンダたった４０分でわかるDevSecOpsの必要性
lDevOpsとは-デジタルトランスフォーメーションによる⾰命-現状のソフトウエア開発の課題
lセキュリティのボトルネック-現状のプロセス-⼈材不⾜
lDevSecOpsとは-⽂化・技術・プロセス-SB C&Sの取り組み

20

セキュリティチェックっていつやる?

セキュリティの現状
セキュリティ担当チーム

ソフトウエアのリリース直前にセキュリティチェックを⾏う

企画

設計

開発
構築

テスト
デプロイ

セキュリティ

修正

チェック(⼿戻り)

リリース

保守
運⽤

・リリース直前での仕様変更は⼤幅な⼿戻りが発⽣
・予定外の作業が負担になり開発者・運⽤者も疲弊
・その場しのぎの対策になりがち → セキュリティ事故を起こす危険性22

DevOpsを実践してソフトウエアを迅速に開発しても・・・

セキュリティの組み込みに時間がかかりリリースする際の⾜かせになってしまう

DevSecOps

DevSecOps

開発者（Development）と運⽤者（Operations）とセキュリティ担当者(Security)が協調・連携しセキュリティを保ちつつ、ソフトウエアの開発、リリースをいち早く⾏っていこうという概念、取り組み• セキュリティを担保しつつ、迅速にソフトウエアをリリースすることを⽬的• 組織⽂化・技術・プロセスを変⾰

Sec

OpsDev

今まで

DevSecOps

セキュリティチームのみ
責任を負う

⽂化

開発ライフサイクルに携わる全員がセキュリティに責任を負う

⼿動テスト

技術

セキュリティチェックの⾃動化

セキュリティは後付け

プロセス

シフトレフト(再掲)セキュリティの現状
セキュリティ担当チーム

ソフトウエアのリリース直前にセキュリティチェックを⾏う

企画

設計

開発
構築

テスト
デプロイ

セキュリティ

修正

チェック

(⼿戻り)

リリース

保守
運⽤

・リリース直前での仕様変更は⼤幅な⼿戻りが発⽣・予定外の作業が負担になり開発者・運⽤者も疲弊
・その場しのぎの対策になりがち → セキュリティ事故を起こす危険性27

セキュリティ担当チーム

DevSecOps
開発の初期段階からセキュリティチェックを組み込む

シフトレフトセキュリティチェック

企画

セキュリティチェック

設計

修正

修正
(⼿戻り)

セキュリティチェック

修正

セキュリティチェック セキュリティチェック

開発

テスト

構築

デプロイ
修正

リリース

保守
運⽤

修正

・⼿戻りの発⽣が少なくリリースまでのスピードが向上
・⼯数の削減・セキュリティの質が向上

28

DevSevOpsまとめ
DevSecOpsとはl DevOpsにセキュリティのプロセスを組み込んだ概念
l 迅速、⾼品質かつセキュアなソフトウエア開発を実践するための取り組み

なぜ必要なのかl 変化の激しい市場 → ⾼品質かつ迅速なソフトウエア開発が競合と差別化を図る上で重要→そのためには開発スピード、クオリティ、そしてセキュリティを両⽴することが求められる

成功要因

l ⽂化(全員がセキュリティに責任を持つ)
l 技術(セキュリティチェックの⾃動化)
l プロセス(シフトレフト)

SecOpsDev29

SB C&Sは何をやっているのか?

SB C&Sの位置づけ

ソフトバンク株式会社の主要セグメントの⼀⾓を担うグループの主な事業

コンシューマ

4,000
3,000
2,000
1,000

流通

法⼈

売上その他

従業員数

4,344億円 1,772⼈※SB C&S株式会社 第5期（2019年3⽉期）決算公告より（⽇本基準 単体） ※従業員数は2019年4⽉現在

法⼈ICT事業

事業概要
幅広い商品と⻑年の実績で、ICT流通を⽀える

販売パートナー 全国

取り扱いメーカー

取り扱い商材10,000 社 40,000 拠点

4,000 社

400,000 点以上（2019年4⽉現在）
32

情報⾰命で⼈々を幸せにInformation Revolution – Happiness for Everyone