DevSecOpsの6つの柱︓
セキュリティ、開発、運⽤の統合による再帰的セキュリティの実現クラウドセキュリティアライアンスのDevSecOpsの恒久的かつ公式な場所は、下記のURLを参照してください。
https://cloudsecurityalliance.org/group/DevSecOps/© 2019 Cloud Security Alliance – All Rights Reserved. You may download, store, display on your computer,view, print, and link to the Cloud Security Alliance at https://cloudsecurityalliance.org subject to thefollowing: (a) the draft may be used solely for your personal, informational, non- commercial use; (b) thedraft may not be modified or altered in any way; (c) the draft may not be redistributed; and (d) thetrademark, copyright or other notices may not be removed. You may quote portions of the draft aspermitted by the Fair Use provisions of the United States Copyright Act, provided that you attribute theportions to the Cloud Security Alliance.

© Copyright 2019, Cloud Security Alliance. All rights reserved.

2

謝辞
Lead Authors:
John Martin
Setumadhav Kulkarni
Ronald Tse
Michael Roza
Sean Heide

Contributors:
David Lewis
Eric Gauthier
Lee Szilagyi

CSA Staff:
Sean Heide© Copyright 2019, Cloud Security Alliance. All rights reserved.

3

⽇本語版提供に際しての告知及び注意事項
本書「DevSecOpsの6つの柱︓セキュリティ、開発、運⽤の統合による再帰的セキュリティの実現」は、Cloud Security Alliance (CSA)が公開している「The Six Pillars of DevSecOps: Achieving Reflexive Security Through Integration of Security, Development, andOperations」の⽇本語訳です。本書は、CSAジャパンが、CSAの許可を得て翻訳し、公開するものです。原⽂と⽇本語版の内容に相違があった場合には、原⽂が優先されます。
翻訳に際しては、原⽂の意味および意図するところを、極⼒正確に⽇本語で表すことを⼼がけていますが、翻訳の正確性および原⽂への忠実性について、CSAジャパンは何らの保証をするものではありません。
この翻訳版は予告なく変更される場合があります。以下の変更履歴（⽇付、バージョン、変更内容）をご確認ください。
変更履歴
⽇付

バージョン

変更内容

2023年11⽉14⽇

⽇本語版1.0

初版発⾏

本翻訳の著作権はCSAジャパンに帰属します。引⽤に際しては、出典を明記してください。無断転載を禁⽌します。転載および商⽤利⽤に際しては、事前にCSAジャパンにご相談ください。
本翻訳の原著作物の著作権は、CSAまたは執筆者に帰属します。CSAジャパンはこれら権利者を代理しません。原著作物における著作権表⽰と、利⽤に関する許容・制限事項の⽇本語訳は、前ページに記したとおりです。なお、本⽇本語訳は参考⽤であり、転載等の利⽤に際しては、原⽂の記載をご確認下さい。

CSAジャパン成果物の提供に際しての制限事項
⽇本クラウドセキュリティアライアンス（CSAジャパン）は、本書の提供に際し、以下のことをお断りし、またお願いします。以下の内容に同意いただけない場合、本書の閲覧および利⽤をお断りします。
１．

責任の限定

CSAジャパンおよび本書の執筆・作成・講義その他による提供に関わった主体は、本書に関して、以下のことに対する責任を負いません。
また、以下のことに起因するいかなる直接・間接の損害に対しても、⼀切の対応、是正、⽀払、賠償の責めを負いません。
(1)

本書の内容の真正性、正確性、無誤謬性(2)

本書の内容が第三者の権利に抵触しもしくは権利を侵害していないこと(3)

本書の内容に基づいて⾏われた判断や⾏為がもたらす結果(4)

本書で引⽤、参照、紹介された第三者の⽂献等の適切性、真正性、正確性、無誤謬性および他者権利の侵害の可能性

２．

⼆次譲渡の制限

本書は、利⽤者がもっぱら⾃らの⽤のために利⽤するものとし、第三者へのいかなる⽅法による提供も、⾏わないものとします。他者との共有が可能な場所に本書やそのコピーを置くこと、利⽤者以外のものに送付・送信・提供を⾏うことは禁⽌されます。また本書を、営利・⾮営利を問わず、事業活動の材料または資料として、そのまま直接利⽤することはお断りします。
ただし、以下の場合は本項の例外とします。
(1)

本書の⼀部を、著作物の利⽤における「引⽤」の形で引⽤すること。この場合、出典を明記してください。

(2)

本書を、企業、団体その他の組織が利⽤する場合は、その利⽤に必要な範囲内で、⾃組織内に限定して利⽤すること。

(3)

CSAジャパンの書⾯による許可を得て、事業活動に使⽤すること。この許可は、⽂書単位で得るものとします。

(4)

転載、再掲、複製の作成と配布等について、CSAジャパンの書⾯による許可・承認を得た場合。この許可・承認は、原則として⽂書単位で得るものとします。
３．

本書の適切な管理© Copyright 2019, Cloud Security Alliance. All rights reserved.

4

(1)

本書を⼊⼿した者は、それを適切に管理し、第三者による不正アクセス、不正利⽤から保護するために必要かつ適切な措置を講じるものとします。
(2)

本書を⼊⼿し利⽤する企業、団体その他の組織は、本書の管理責任者を定め、この確認事項を順守させるものとします。また、当該責任者は、本書の電⼦ファイルを適切に管理し、その複製の散逸を防ぎ、指定された利⽤条件を遵守する（組織内の利⽤者に順守させることを含む）ようにしなければなりません。
(3)

本書をダウンロードした者は、CSAジャパンからの⽂書（電⼦メールを含む）による要求があった場合には、そのダウンロードしまたは複製した本書のファイルのすべてを消去し、削除し、再⽣や復元ができない状態にするものとします。この要求は理由によりまたは理由なく⾏われることがあり、この要求を受けた者は、それを拒否できないものとします。
(4)

本書を印刷した者は、CSAジャパンからの⽂書（電⼦メールを含む）による要求があった場合には、その印刷物のすべてについて、シュレッダーその他の⽅法により、再利⽤不可能な形で処分するものとします。
４．

原典がある場合の制限事項等

本書がCloud Security Alliance, Inc.の著作物等の翻訳である場合には、原典に明記された制限事項、免責事項は、英語その他の⾔語で表記されている場合も含め、すべてここに記載の制限事項に優先して適⽤されます。
５．

その他

その他、本書の利⽤等について本書の他の場所に記載された条件、制限事項および免責事項は、すべてここに記載の制限事項と並⾏して順守されるべきものとします。本書およびこの制限事項に記載のないことで、本書の利⽤に関して疑義が⽣じた場合は、CSAジャパンと利⽤者は誠意をもって話し合いの上、解決を図るものとします。
その他本件に関するお問合せは、info@cloudsecurityalliance.jp までお願いします。

© Copyright 2019, Cloud Security Alliance. All rights reserved.

5⽇本語版作成に際しての謝辞「DevSecOpsの6つの柱︓セキュリティ、開発、運⽤の統合による再帰的セキュリティの実現」は、CSAジャパン会員の有志により⾏われました。作業は全て、個⼈の無償の貢献としての私的労⼒提供により⾏われました。なお、企業会員からの参加者の貢献には、会員企業としての貢献も与っていることを付記いたします。
以下に、翻訳に参加された⽅々の⽒名を記します。（⽒名あいうえお順・敬称略）
松浦 ⼀郎, CISSP, CISM, CDPSE
諸⾓ 昌宏© Copyright 2019, Cloud Security Alliance. All rights reserved.

6

内容
謝辞............................................................................................................................................................. 3
Lead Authors:.................................................................................................................................................. 3Contributors: ............................................................................................................................................... 3
CSA Staff: ...................................................................................................................................................... 3
はじめに ........................................................................................................................................................ 8
背景.............................................................................................................................................................. 8
DevOpsのインパクト.................................................................................................................................. 8スコープ.......................................................................................................................................................... 9
引⽤⽂書 ................................................................................................................................................... 9
⽤語と定義 ................................................................................................................................................. 9
クラウドファーストの課題解決のためのDevSecOps ......................................................................................... 10
柱1︓集団的責任 .................................................................................................................................. 10
柱2︓コラボレーションと統合 ..................................................................................................................... 10
柱3︓実践的な実施 ............................................................................................................................... 10
柱4︓コンプライアンスと開発の橋渡し .................................................................................................. 11
柱5︓⾃動化 ............................................................................................................................................ 11
柱6︓測定、監視、報告および⾏動 ...................................................................................................... 12
概要............................................................................................................................................................ 12
参考⽂献 .................................................................................................................................................... 12© Copyright 2019, Cloud Security Alliance. All rights reserved.

7

はじめに
背景
クラウドコンピューティングの広範な導⼊は、前例のないセキュリティ上の課題を提起しています。組織は⽇々、侵害、漏洩、機密データ盗難といったニュース⾒出しに直⾯しています。これらの課題は、セキュアでないアプリケーション、設定ミス、問題のあるプロトコル、貧弱なインフラストラクチャー設計、および教育やトレーニングの不⾜などの影響によって発⽣します。
デジタルトランスフォーメーションが確実に進⾏する中、ソフトウェアはビジネスリスクとエクスプロイトの原因の上位に急浮上しています。アプリケーションの開発と配信の量とペースが急速に増加した結果、アプリケーションに対する攻撃の数と複雑さも増加しています。適切かつ⼗分なセキュリティスキルと資質を備えた⼈材の不⾜は、かつてないほど深刻になっています。
別の⾔い⽅をすれば、コンピューティングのユビキタス化とその複雑化によって、ソフトウェアシステムのアタックサーフェスは指数関数的に拡⼤しています。この状況を「ムーアの復讐」と表現する⼈もいます[1]。
複数の技術レイヤー間の複雑な相互作⽤は、今⽇のアプリケーションのグローバルな相互接続と常時オンの性質と結びつき、システム、ソフトウェア、およびハードウェアに潜んでいた潜在的な脆弱性によって、さらに悪化します。このような状況は、世界中の悪意をもつ組織が果実を収穫するためのうってつけの場を作り出しています。
脆弱性は、基盤となるインフラストラクチャー、サードパーティのサービス、ソフトウェア製品に組み込まれているライブラリなど、あらゆる場所で発⽣する可能性があり、ソフトウェア開発会社は現在のところ、このような課題を迅速に発⾒し解決する体制を整えていません。例えば、2017年の調査では、80％以上の組織が本番前の脆弱性スキャンを実施していないと回答しています[2]。

DevOpsのインパクト
DevOpsは、集団的コラボレーションなどの開発のベストプラクティスをインフラストラクチャー運⽤に適⽤するプラクティスであり、特にクラウド環境において、今⽇の開発および運⽤チームの効率にプラスな影響を与えることが⽰されています。
DevOpsの採⽤が強化されていることから、情報セキュリティ⾃体への影響を検討し、情報セキュリティ管理の分野に当該の慣⾏の適⽤を検討する必要があります。
DevOps、マイクロサービス、およびオープンソースのような、デプロイサイクルを加速する最新のトレンドとともに、コンピューティングデバイスとコンピューティングパワーの遍在化が進んでいるため、エクスプロイト可能な⽋陥をタイムリーに検出・特定する能⼒に負担がかかり続け、全体的なセキュリティリスクの⼤幅な増加につながっています。

© Copyright 2019, Cloud Security Alliance. All rights reserved.

8

サーバーレスコンピューティング、APIファーストアプリケーション、マイクロサービスベースのアーキテクチャといったクラウドネイテ
ィブな開発パラダイムは、これらのパラダイムを実現するDevOpsの台頭とともに、主流の選択肢となっています。
このようなソフトウェア開発への新しいアプローチは、必ずしもセキュリティが熟考されたものではない設計原則のまま発展してきました。このようなパラダイムに持続可能な⽅法でセキュリティを導⼊するために利⽤できる唯⼀の現実的な選択肢は、このようなパラダイムを現実のものとしたコンセプトそのものであるDevOpsに依拠することです。
セキュリティをDevOpsに直接組み込むことで、DevSecOpsのような最新の統合セキュリティパラダイムを通じて既存のセキュリティを開発や運⽤プロセスに統合し、成果を⼤幅に改善できます。例えば、DevSecOpsを導⼊している組織は、最新のマイクロサービスベースのアプリケーションのセキュリティに関する結果が、はるかに優れていることに気づいています。さらに、セキュリティがソフトウェア開発ライフサイクルに組み込まれていれば、組織は、開発の初⽇であっても、セキュリティに関連するパフォーマンスをコントロールできることに気づいています。
本⽬標は、ソフトウェアの開発と公開における複雑さを軽減し、既知の信頼できるコンポーネントとサービスのみを使⽤するようにし、開発⼿法に直接統合されたセキュリティリソース（⾃動化されたものと⼈の⼿によるものの両⽅）をソフトウェア開発チームに提供し、セキュリティが⼗分に確保され、監視された開発環境を使⽤し、最終的に、設計どおりに、設計された機能のみを備えた最終製品を提供することです。

スコープ
この⽂書は、DevSecOps を実装し組織に統合するために不可⽋な、DevSecOps の6つの重点分野を定義しています。
この⽂書で提供されるDevSecOpsの柱は、従来はサイロ化されていた開発、インフラストラクチャー運⽤、および情報セキュリティの各業務を、セキュアなソフトウェアの作成を促進する結束⼒のあるグループへと融合させる、全体的なフレームワークの提供を意図しています。

引⽤⽂書
Information Security Management through Reflexive Security, CSA
ISO/IEC 27000:2018, Information technology -- Security techniques -- Information security management
systems -- Overview and vocabulary

⽤語と定義
この⽂書の⽬的のため、情報セキュリティ管理に関する⽤語と定義は、再帰的セキュリティ、ISO27000、およびCSAで⽰される⽤語と定義が適⽤されます。

© Copyright 2019, Cloud Security Alliance. All rights reserved.

9

クラウドファーストの課題解決のためのDevSecOps
DevSecOpsは、インフラストラクチャーと製品のライフサイクルがますます短くなっている、今⽇における相互接続され急速に変化するセキュリティ環境の課題に対処するアプローチのひとつです。
DevSecOpsのプラクティスは、クラウドファーストのソフトウェアから⽣じた課題を解決するための対応策として作成されました。これは、DevOps の⽂化、プラクティスおよびワークフローに、継続的なセキュリティの原則、プロセスおよび技術を統合することと、簡潔に定義できます。
DevSecOpsはまた、従来はサイロ化されていた開発、インフラストラクチャー運⽤、情報セキュリティの各業務を統合し、コントロールされたプロセスの下でセキュアなソフトウェアの開発を促進する、全体的なフレームワークを提供することも意図しています。
本CSA DevSecOps ワーキンググループは、再帰的セキュリティフレームワークで説明されている6つの柱に従って、DevSecOps を組織に統合するために重要な以下の6つの重点領域を定義しました。

柱1︓集団的責任
DevOpsにセキュリティを組み込むための最⼤の課題の1つは、組織のマインドセット、ソフトウェアセキュリティに関する考え⽅、習慣および⾏動を変えることです。
DevOps組織にセキュリティが導⼊されることで、セキュリティはもはや他⼈事ではなくなります。それは、他の⼈たちの仕事が⼀段落してから取り組むような、後回しにされるものであってはなりません。さらに、セキュリティをビジネス⽬標と切り離して考えることはできません。最後に、セキュリティは進歩や貢献を計測できない刹那的なものではありません。
誰もが、組織のセキュリティ姿勢に責任を負います。CSO（クラウドセキュリティオフィサー）は、組織における情報セキュリティの指導的・監督的役割を果たしますが、各⼈がセキュリティの責任を負い、組織のセキュリティ姿勢対する⾃らの貢献を意識付けする必要があります。エッジのユーザーと開発者は、単に「セキュリティを意識している」というだけでなく、防御の第⼀線にいます。
これは、「再帰的セキュリティ」のフレームワークの柱である「責任ある集団」に相当します。

柱2︓コラボレーションと統合
開発、運⽤、セキュリティの各分野において、ソフトウェア業界には膨⼤なスキル（知識）と⼈材（リソース）のギャップがあります。セキュリティの導⼊に関して組織全体が協⼒しなければ、成功は限られたものになります。セキュリティは、対⽴ではなく協⼒によってのみ達成できます。すべての機能チームのメンバーが潜在的な異常を報告できるようにするためには、セキュリティを意識した協⼒的な⽂化が必要です。⼈的要因はしばしば最も弱いリンクであり、実際に、セキュリ
ティインシデントのほとんどは、単純なヒューマンエラーによって引き起こされることを覚える必要があります。
これは、「再帰的セキュリティ」のフレームワークの柱である「協⼒と統合する」に相当します。

柱3︓実践的な実施
DevSecOpsでは、ポイントソリューションが数多く提供されています。組織は、ソフトウェアライフサイクルの中でアプリケー© Copyright 2019, Cloud Security Alliance. All rights reserved.

10ションセキュリティを実装するために、さまざまなツールやソリューションを選択できます。ソフトウェアライフサイクルは、構造、プロセス、全体的な成熟度においてそれぞれ異なるため、DevSecOpsを実装するための万能なツールは存在しません。
組織はしばしば、導⼊が難しく、運⽤が困難で、結局は真のセキュリティリスクの軽減に役⽴つ実⽤的な洞察を提供しないツールやポイントソリューションの調達に終始します。
組織は、ソフトウェアのライフサイクル、組織⾃⾝のセキュリティのニーズ、そして求める将来の状態を総合的に捉え、⾼度な統合性を提供するプラットフォームソリューションを選択する必要があります。
デジタル社会における安全、プライバシー、および信頼を確保するために、アプリケーション開発に焦点を当てたフレームワークにとらわれない「デジタルセキュリティとプライバシーモデル」を使⽤することで、組織はDevOpsにおけるセキュリティに実⽤的な⽅法でアプローチできます。このモデルは、すべての利害関係者（開発、運⽤、セキュリティ）を、セキュリティが、アプリケーションとアプリケーションを⽣み出すソフトウェアライフサイクルに組み込まれる形で組み込まれるという、現状では満たされていないニーズを満たすものです。
これは、「再帰的セキュリティ」の枠組みにおける「実践的」な柱に相当します。

柱4︓コンプライアンスと開発の橋渡し
リスクに関連した要求事項を、時間の経過に従って容易に測定できるセキュリティ要求事項に変換することは難しいものです。セキュリティチームがリスクベースの⼿法をサポートするために要件を作成するとしても、コンプライアンス要件はDevOpsや製品要件にうまく変換されていません。逆に、技術的なコントロールが実装されていても、セキュリティ要件が満たされているという証拠を得ることは容易ではありません。
ソフトウェア開発のパラダイムとプラクティスの急速な進化を考えると、コンプライアンスとアジャイルソフトウェア開発はもはや同じ⽴場に置けません。規制・コンプライアンス部⾨は、その各プロセスの実⾏を実際に監査することよりも、プロセスが存在することを証明することに関⼼があります。⼀⽅で、ほとんどのDevOpsチームは、証明はコードの中にあり、プロセスの⽂書化の中にはないと考えています。
コンプライアンスと開発の間のこのギャップに対処する鍵は、適⽤可能なコントロールを特定し、それを適切なソフトウェア対策に変換し、ソフトウェアライフサイクル内の変曲点を特定し、そこでこれらのコントロールを⾃動化して測定することにより、リスク軽減の質を向上させ、その結果、コンプライアンスを改善することです。
これは、「再帰的セキュリティ」のフレームワークの「整列と橋渡し」の柱に相当します。

柱5︓⾃動化
最⼩限のコストで迅速にセキュアな配備を実現するためのソフトウェア開発⼿法を妨げている課題のいくつかは、⼿作業による⾏き当たりばったりのコーディング、テスト、デプロイ、およびパッチの適⽤です。
⾃動化された品質チェックがなければ、⼿作業によるコーディングは容易に、⼿直しが必要なパフォーマンスの低い、セキュアでないソフトウェアになります。さらに、⼿作業やタイミングの悪いテストでは、デプロイ前に脆弱性が特定される可能性を低くします。⼿作業によるデプロイとパッチの適⽤は、セキュアでないソフトウェアを本番環境にリリースする可能性があります。

© Copyright 2019, Cloud Security Alliance. All rights reserved.

11⾃動化されたセキュリティ対策は、⼿作業によるプロセスを減らし、効率を⾼め、⼿戻りを減らすことができるため、プロセス効率の中核となります。ソフトウェアの品質は、テスト／フィードバックの徹底性、適時性、および頻度を改善することによって向上できます。⾃動化できるプロセスは⾃動化し、⾃動化できないプロセスは可能な限り⾃動化するか、廃⽌を検討すべきです。⾃動化されたセキュリティチェックは、ビルドの遅延や失敗といった新たな課題を引き起こす可能性がありますが、これらは通常、ワークフローの改善や半⾃動化アプローチで対処できます。ソフトウェア開発には、「同じことを3回やったら、そろそろプログラミングの時期だ」という格⾔があり、これは、再帰的セキュリティに正⾯から当てはまります。
これは、「再帰的セキュリティ」の枠組みにおける「⾃動化」の柱に相当します。

柱6︓測定、監視、報告および⾏動「測定できない（あるいは測定しない）ものは管理できない」という格⾔は、DevSecOpsの実装と保守ほど当てはまるものはありません。⼀般的なDevSecOpsイニシアチブは、スコープと複雑さにもよりますが、実装に数ヶ⽉から数年を要します。実⾏可能なメトリクスがなければ、進捗を測定することはできず、失敗をタイムリーに発⾒することもできません。
DevSecOps環境で監視すべき最も重要なメトリクスには、デプロイメントの頻度、脆弱性パッチの適⽤時間、⾃動的にテストされるコードの割合、アプリケーションごとの⾃動テストがあります。DevSecOpsを成功させるためには、ソフトウェア開発中だけでなく、デリバリー後の結果も、適切な⼈々によって適切なタイミングで（継続的に）測定、監視、報告、および対処される必要があります。
これは、再帰的セキュリティのフレームワークの「測定と改善」の柱に相当します。

概要
CSA DevSecOps ワーキンググループは、本⽂書に記載された重点領域は、DevSecOps の⽂脈におけるセキュアソフトウェア開発の弱点に対処することが可能であり、適切に実装された DevSecOps 環境を将来的にダイナミックに構築するためのビルディングブロックとして機能すると結論付けています。
それぞれの柱については、今後、別のホワイトペーパーで詳しく取り上げる予定です。

参考⽂献[1] ‘Moore’s Revenge’ is upon us and will make the world weird, Mark Pesce, The Register.
https://www.theregister.co.uk/2018/06/04/moores_revenge/[2] 2017 State of Application Security: Balancing Speed and Risk, Jim Bird, SANS. Available at:https://www.tenable.com/whitepapers/research-report-sans-2017-state-ofapplication-security-balancing-speed-and-risk© Copyright 2019, Cloud Security Alliance. All rights reserved.

12