DevSecOps の計画と設計により、セキュリティが最初から製品に組み込まれるか、リスクに対応して後で追加されるかが決まります。 早い段階で決定を下すことで、チームはデータと最新のアーキテクチャを使用して何が構築されるのかをガイドし、セキュリティで保護された設計を既定にするのに役立ちます。
この機能領域では、セキュリティで保護された設計手法、決定を通知するデータと分析情報、製品を形成する技術的なアーキテクチャと設計の選択を通じて、最も早い段階の作業にどのようにセキュリティが組み込まれるかを説明します。
組織が成熟するにつれて、計画と設計は、事後対応型のレガシ主導のアクティビティから、より差別化された立場に移行します。 脅威モデリングは、個々の取り組みからビジネス レベルの規範へと進化し、データは既定のレポートから予測分析に拡張され、アーキテクチャはアドホック設計から最新の回復性があり、量子耐性のあるパターンにまで進化します。
コア機能領域
DevSecOps の計画と設計では、次の 3 つのサブ機能に重点を置いています。
設計によるセキュリティ保護: 計画中に脅威モデリングと保護設計プラクティスがどのように適用されるか。
データと分析情報: 製品、チーム、顧客のデータが意思決定と戦略を通知する方法。
技術的なアーキテクチャと設計: アーキテクチャ パターンが、最新のセキュリティで保護された回復力のあるアプローチに向かってどのように進化するか。
段階
計画と設計は、成熟度の 5 段階を経て進行します。 これらの段階では、DevSecOps の原則が、従来の投資によって形成された事後対応型の計画から、業界で差別化された地位を作り出す計画と設計のプラクティスまで、開発の初期段階でどのように現れるかを示しています。
| 全体の段階 | ステージ名 | 見た目 |
|---|---|---|
| アドホック | 反応性 | 従来の投資は活動を促進し、イノベーションを活用する機会がありません。 |
| 開始 | 意図的な | 計画を整理して通知することで、コラボレーションとより一致した結果が得られます。 |
| オーケストレーター | 協調 | 製品とサービスの間で、人間と技術的な連携が生まれます。 |
| 合理化 | 統合 | 計画と設計に優先順位を付けた投資は、明確な価値を示します。 |
| 先駆的な | 差別化された | 計画と設計の卓越性は、業界で差別化された地位を生み出します。 |
リアクティブ (アドホック)
チームが意図を持って計画を開始する前に、従来の投資によってアクティビティが促進され、新しいアプローチを使用する機会が制限される可能性があります。
設計によるセキュリティ: 設計フェーズのセキュリティは、セキュリティに配慮した個々の共同作成者のみが処理します。 ほとんどのチームでは、そもそも検討されるとしても、後回しにされがちです。
データと分析情報: データの収集とレポートは、既定のレベルで維持されます。 チームは定期的にのみレビューを行い、アクションを推進するために使用されることはほとんどありません。
技術的なアーキテクチャと設計: 設計とアーキテクチャはアドホックであり、標準やガイドラインがありません。 開発コストは高いままで、コードの共有やオープンソースの使用はほとんどありません。
意図的（開始する）
計画と設計を整理して通知することで、コラボレーションを実現し、より一致した結果を生み出すことができます。
設計によるセキュリティ保護: 脅威モデリングは技術的なレベルで行われ、重大度の高い問題に対処しますが、多くの場合、プロセスが遅れます。 Teams では、データ暗号化とセキュリティで保護された通信プロトコルが使用されます。
データと分析情報: Teams は既存の製品シグナルを使用して改善します。 顧客の分析情報は限られており、データの不一致によって分析が困難になります。
技術的なアーキテクチャと設計: Teams は、クラウドやマイクロサービスなどの最新のパターンに移行し始めるか、埋め込みシステムでハードウェア セキュリティ モジュール (HSM) を使用します。
連携済み（オーケストレーション）
計画と設計がより意図的になると、製品やサービス全体で人間と技術的な連携が生み出され始めます。
設計によるセキュリティ保護: 脅威モデリングは、定義されたプロセスと標準を使用して製品レベルで動作します。 インテリジェント アプリには、ガードレールや、プロンプトインジェクションなどの脅威に対する保護が含まれます。 強力な ID とシークレットのアーキテクチャが用意されています。
データと分析情報: 製品データの収集、キュレーション、共有により、意思決定が迅速かつ確実になります。 リアルタイムの製品監視により透明性が向上し、チームの分析情報によってワークフローとプロセスが改善され、顧客の分析情報が定期的に収集され、ロードマップに影響を与えます。
技術的なアーキテクチャと設計: クラウドやマイクロサービスなどの最新のパターンでは、より広範な導入が見られます。 組み込みアーキテクチャには、ハードウェア高速化されたセキュリティとセキュリティで保護されたファームウェア更新プログラムが含まれます。
統合（効率化）
計画と設計に優先順位を付けた投資により、メリットが目に見え、価値を示します。
設計によるセキュリティ保護: 脅威モデリングは、メモリ中毒、知識の破損、エージェント推論の操作などの AI の脅威を軽減する取り組みを含め、ビジネス レベルにまで拡大します。 マルチエージェント通信と信頼チェーンは慎重に検討され、適切にセキュリティ保護されます。
データと分析情報: システム間の製品データの統合とリアルタイム処理は、包括的な可視性を実現し、製品の改善を主要なビジネス メトリックに結び付けます。 厳密なチーム分析情報の収集は継続的な改善をサポートし、顧客の分析情報は戦略を推進するのに役立ちます。
技術的なアーキテクチャと設計: Teams では、サーバーレス アーキテクチャ、広範なコンテナーの使用、マルチクラウド環境への選択的な移動などの高度なアプローチが採用されています。 設計では、空中更新とマイクロセグメント化もサポートされています。
差別化された（先駆的）
計画と設計の卓越性は、組織が業界で差別化された地位を確立するのに役立ちます。
設計によるセキュリティ保護: Teams は高度な不正使用事例を作成し、開発者やシステム管理者と共同でセキュリティ チェックを実行します。 レッド チーミングと同様の戦略は、設計と概念の検証に役立ちます。
データと分析情報: 製品、チーム、顧客のデータ全体を探索すると、顧客のニーズ、プロセスの改善、ビジネスへの影響の間のより深い関係が明らかになります。 予測分析により、予測とゲームの計画が可能になります。
技術的なアーキテクチャと設計: 組織は、量子コンピューターからの攻撃に抵抗できる暗号アルゴリズムを開発します。