DevSecOps のリリースとデプロイでは、ライフサイクルの前に行われたセキュリティ作業が運用環境に保持されるかどうかを判断します。 依存関係管理、リリース ガバナンス、および展開ワークフローの強力なプラクティスは、ソフトウェアの配信をセキュリティで保護され、反復可能で、信頼できるものにするのに役立ちます。
この機能領域では、組織がセキュリティで保護された依存関係を管理し、リリースをセキュリティで保護し、展開ワークフローを運用する方法について説明します。 そこでこそ、以前のフェーズで行ったセキュリティ対策が本番環境まで維持されるか、失われるかが決まります。
組織が成熟すると、リリースとデプロイが脆弱でアドホックな配信から、予測によってサポートされる再帰プロセスに移行します。 依存関係管理は、セキュリティで保護されたサプライ チェーン従量課金フレームワーク (S2C2F) レベルを通じて成熟し、リリースでは自動化されたセキュリティ テストとロールバック機能が得られ、デプロイ ワークフローは継続的でコードで管理され、ますます自己復旧が進みます。
コア機能領域
DevSecOps でのリリースとデプロイでは、次の 3 つのサブ機能に重点を置いています。
セキュリティで保護された依存関係: サード パーティとオープンソースの依存関係をインベントリ、スキャン、保守する方法。
セキュリティで保護されたリリース: マイルストーンとリリース間で脆弱性を特定して管理する方法。
デプロイ ワークフロー: デプロイを自動化し、テストし、信頼性と反復性を実現する方法。
段階
リリースとデプロイは、成熟度の 5 段階を経て進行します。 これらの段階では、DevSecOps の原則がエンジニアリング システムの管理にどのように現れるかを示します。遅延保護や一貫性のない保護から、予測によって強化された保護されたプロセスまでです。
| 全体の段階 | ステージ名 | 見た目 |
|---|---|---|
| アドホック | 脆弱 | 初期段階ではほとんど保護されておらず、脅威の特定と軽減は、行われるとしても遅い段階になります。 |
| 開始 | 構造化 | 基本プロセスは、より頻繁で予測可能なリリースから早期のメリットをもたらします。 |
| オーケストレーター | 濃縮 | デプロイ前の自動化と拡張されたテスト カバレッジにより、確実性が増し、リスクが軽減されます。 |
| 効率化 | 継続的 | 自動化を通じてより深いカバレッジを実現すると、信頼性が向上し、リリースの機敏性が提供されます。 |
| パイオニア | 反射的 | 保護されたプロセスは、予測の進歩によって強化されます。 |
脆弱 (アドホック)
チームが最初の出力と配信の生成のみに重点を置いている場合、最初から開発プロセスにセキュリティを組み込むことはありません。 多くの場合、脅威の特定や軽減への対応は後手に回り、場合によってはまったく行われません。
安全な依存関係: 整理されたインベントリはありません。 パッケージの更新は手動で行われ、まったく発生しない可能性があります。
セキュリティで保護されたリリース: 組織化されたリリース のセキュリティ作業は存在しません。
デプロイ ワークフロー: デプロイ作業は散在し、アドホックです。
構造化（開始中）
チームはリリースと展開のプロセスを確立すると、より頻繁で予測可能なリリースの初期の利点を確認し始めます。
セキュリティで保護された依存関係: Teams は S2C2F レベル 1 のアクティビティを実行します。 ライセンスチェックは手動であり、顧客の通知は基本的です。
セキュリティで保護されたリリース: Teams は、マイルストーンとリリースで脆弱性、ライセンス、バージョンの問題を手動でチェックします。通常はサードパーティのサイトを使用します。
展開ワークフロー: ワークフローは存在しますが、大部分は手動であり、不整合または不完全になる可能性があります。 通常、デプロイは大規模で頻度が低くなります。
エンリッチ (オーケストレーター)
デプロイ前に自動化を導入し、テスト カバレッジを拡張することで、確実性が増し、リスクが軽減されます。
セキュリティで保護された依存関係: Teams は、バージョン変更のレビューと承認を含む初期の変更管理プロセスを定義します。 ソフトウェア部品表 (SBOM)、ライセンス スキャン、および S2C2F レベル 2 のアクティビティを使用します。 データ マスクが導入されました。
セキュリティで保護されたリリース: 脆弱性やその他の問題を特定するために、主要なマイルストーンで自動動的アプリケーション セキュリティ テスト ツールが使用されます。 修復はまだ困難であり、時間がかかります。
デプロイ ワークフロー: ワークフローは成熟し、信頼性が高くなります。 リリース パイプラインには、動的なアプリケーション セキュリティ テストやパフォーマンス テストなど、包括的な自動テストが含まれます。 成果物はコード署名で検証されます。
継続的（効率化）
コンポーネントとシナリオをより深くカバーする自動化により、信頼性が向上し、チームのリリースの機敏性が向上します。
安全な依存関係: 外部の状況認識を自動化することで、予防的な防御アクションが可能になります。 チームは S2C2F レベル 3 のアクティビティを実行し、SBOM を自動的に生成します。
安全なリリース: チームはエンドツーエンドのインベントリを維持し、マルウェア対策とゼロデイ攻撃の検出を導入し、効果的かつ迅速にロールバックできるため、スピードのために品質を犠牲にすることを避けられます。
デプロイ ワークフロー: 自動化された継続的な動的アプリケーション テストは、サイクル全体にわたって統合されます。 AI は自動復旧を提供するのに役立ち、インフラストラクチャはコードとして管理されます。 より小さく、より頻繁な変更は、信頼性を犠牲にすることなく継続的にデプロイできます。
リフレクティブ (パイオニア)
保護および保護されたプロセスは、追加のセキュリティと効率の利点を生み出す予測機能によって強化されます。
セキュリティで保護された依存関係: Teams は、依存関係ごとにコンティンジェンシー 計画を維持し、セキュリティ修正プログラムと更新プログラムをオープンソースソフトウェアに提供し、S2C2F レベル 4 のアクティビティを実行します。
セキュリティで保護されたリリース: 戦略的投資により、露出を予測して防止する能力がさらに向上します。
デプロイ ワークフロー: Agentic AI は、ワークフローを最適化し、セキュリティを向上させ、継続的デプロイを合理化する効率を作成するために使用されます。