DevSecOps

開発（Development）・セキュリティ（Security）・運用（Operations）が安全性への責任を共有し、企画から運用までの継続的な流れへセキュリティ活動を組み込む考え方です。

■ 試験で押さえるポイント

• 設計時の脅威モデリングとセキュリティ要件、実装時の安全なコーディングとレビューなど、問題を早期に扱うシフトレフトを実践します。

• CI/CDへSAST、DAST、SCA、秘密情報検出、IaC設定検査、コンテナ検査、SBOM生成などを組み込み、重大度に応じて品質ゲートを設定します。

• 本番のログ、脆弱性情報、インシデント、攻撃兆候を監視し、開発へフィードバックします。シフトレフトだけでなく運用中の継続的対策も必要です。

• 自動ツールだけに責任を移す手法ではなく、権限分離、例外承認、教育、追跡可能性、迅速な修正を含め、速度とリスク低減を両立させます。

■ 過去問での着眼点

最後の工程でセキュリティ部門だけが検査する方式と対比します。責任共有、ライフサイクル全体、早期検出、自動化、継続監視が正しい特徴です。

例: 依存ライブラリに重大な既知脆弱性があればSCAでビルドを停止し、修正版へ更新します。配備後も攻撃ログを監視し、その知見を次の脅威モデルとテストへ戻します。