DevSecOps の標準とガバナンスにより、セキュリティで保護されたプラクティスが組織全体で一貫性があり、目に見え、適用できるかどうかを判断します。 強力なガバナンスは、チームがエンジニアリング システムを保護し、リスクを軽減し、配信を遅らせることなくセキュリティ要件を適用するのに役立ちます。
この機能領域では、組織がセキュリティ プログラムを定義、通信、適用する方法、チームが作業するポリシーと標準、ソフトウェアを構築して出荷するエンジニアリング システムに適用される保護について説明します。 ガバナンスは、善意を反復可能で監視可能なプラクティスに変えます。
組織が成熟するにつれて、標準は欠席または事後対応から、日常業務のユニバーサル基盤に移行します。 すべてのプロセスの早い段階でセキュリティとプライバシーが優先され、AI などの新しいテクノロジはより意図的かつ戦略的に管理されます。
コア機能領域
DevSecOps の標準とガバナンスは、次の 3 つのサブ機能に重点を置いています。
セキュリティ プログラム: 組織がセキュリティで保護された開発プラクティスに投資し、時間の経過と同時にリスクに対処する方法。
ポリシーと標準: オープンソースと AI の要件、コンプライアンス、ガバナンスを定義して適用する方法。
エンジニアリング システムの保護: ID、アクセス、ワークステーション、ビルドおよびテスト環境のセキュリティ保護方法。
段階
標準とガバナンスは、成熟度の 5 段階を経て進行します。 これらの段階では、DevSecOps の原則が組織の優先順位にどのように現れるかを示します。一貫性のない準拠から、基礎を超え、業界のリーダーシップを定義するのに役立つ将来を見据えたガバナンスまでです。
| 全体の段階 | ステージ名 | 見た目 |
|---|---|---|
| アドホック | 暗黙 | 注意と標準が不足していると、準拠が一貫性がなく、監視が困難になります。 |
| 開始 | 明示的 | 固定プロセスと標準ツールにより、より信頼性の高い一貫性のあるアクティビティが可能になります。 |
| オーケストレーター | 原則に基づく | 確立された原則は、標準とガバナンスの優先順位を明確にします。 |
| 合理化 | 総合的 | 標準はユニバーサル基盤を設定し、すべてのプロセスの早い段階でセキュリティとプライバシーが優先されます。 |
| 先駆的な | 将来を見据えた | 価値は、業界をリードする新しい技術の最適化と使用から生まれます。 |
暗黙的 (アドホック)
ガバナンスが確立される前に、注意と標準が不足していると、準拠に一貫性がなく、監視が困難になります。
セキュリティ プログラム: 組織は、確立されたパターン、方法、またはセキュリティで保護されたプラクティスに投資しません。 リリース時、またはより多くの場合、インシデントに対応する場合にのみ、重大な問題を識別して対処します。
ポリシーと標準: 監視が制限されている場合、コンプライアンス違反、安全でないシステム、不完全なソフトウェアのリスクが高まります。
エンジニアリング システムの保護: エンジニアリング システムには標準と管理がありません。 ID オーケストレーションと認証は最小限であり、SaaS サイトには個人用サインインが使用されます。
明示的 (開始)
ガバナンスが形成され始めると、固定プロセスと標準ツールにより、より信頼性が高く一貫した開発アクティビティが可能になります。
セキュリティ プログラム: Teams は、ガイダンスのために外部ソースに依存しています。 可視性が限られていると、リスクを特定して軽減することが困難になります。 マイルストーン ベースのフォーカスにより、負債は時間の経過と同時に蓄積され、重大な問題のみが対処され、セキュリティ アクティビティは定期的に維持されます。
ポリシーと標準: コンプライアンス管理は、リリース時の政府の規制に重点を置いています。 オープン ソースと人工知能 (AI) の使用はまだ説明されていません。
エンジニアリング システムの保護: 一部の領域が管理され、テスト環境と運用環境の分離など、組織のポケットに標準が出現し始めます。 ワークステーションは物理的で一元的に管理され、基本的なローカル ユーザー管理に限定されます。 サード パーティの SaaS は、引き続き個人用サインインに依存しています。既定のユーザー グループ、ロール、ロールベースのアクセス制御 (RBAC) が使用されます。 管理者には多要素認証 (MFA) が必要な場合があります。
原則に基づく (オーケストレーション)
確立された原則により、標準とガバナンスの優先順位が明確になり、DevSecOps プラクティスがどのように展開されるかがガイドされます。
セキュリティ プログラム: Teams は、セキュリティで保護された開発ライフサイクルの原則に従い始めます。 セキュリティ目標が定義され、伝達されるため、チームは従来の問題を計画しながら新しい問題を防ぐことができます。 重大で影響の大きい問題に対処し、ID とシークレットの保護が優先されます。
ポリシーと標準: トップダウン要件と舗装パスの標準化が実施されています。 オープン ソースと AI の使用は、ガイダンスで許可されています。
エンジニアリング システムの保護: ビルドとテストのプロセスは、分岐保護、コード レビュー、検証テストなど、舗装されたパス標準を通じて定義されます。 クラウド開発者ワークステーションは一元的に管理されます。 ソース コードとエンジニアリング インフラストラクチャへのアクセスは、ロールベースのアクセスとエンタープライズ ID 管理を使用して、ゼロ トラストおよび最小特権ポリシーによってセキュリティで保護されます。 サード パーティの SaaS では、シングル サインオン (SSO) が使用されます。 カスタム ユーザー グループとロールが定義され、定期的に検証され、すべてのユーザーに MFA が推奨されます。
包括化 (合理化)
標準は、組織が保護と効率の両方を向上させることができるユニバーサル基盤を設定します。 セキュリティとプライバシーは、すべてのプロセスの早い段階で優先されます。
セキュリティ プログラム: セキュリティはインセンティブの一部になり、特殊なアクティビティは通常のビジネス リズムに組み込まれます。 重大度が中程度の問題でも対処され、チェックによって新しい問題の導入がブロックされます。 リスクの特定と軽減は成熟しており、エージェント AI はプログラムの目標とアクティビティをサポートします。
ポリシーと標準: ガードレールは、トップダウンとボトムアップのアプローチとリアルタイムのレポートと解決を組み合わせたものになります。 オープンソースとAIは戦略的に統治され、human-in-the-loop（HITL）ワークフローは管理しやすく、社会的操作に対する耐性を維持します。
エンジニアリング システムの保護: Teams は不変の成果物を使用し、仮想環境でビルドプロセスとテスト プロセスを実行します。 使用停止プロセスが定義されています。 標準化された動的クラウド開発者ワークステーションは、オンデマンドで作成および破棄されます。 MFA が適用され、アクセスと登録の継続的な認証と動的検証が行われます。
将来を見据える (パイオニア)
この段階の組織は、基礎を超え、アプローチを最適化し、DevSecOps で業界のリーダーシップを確立する方法で新しいテクノロジを使用します。
セキュリティ プログラム: AI 主導のツールとモニターは、差し迫ったリスクを予測して防御するのに役立ちます。 持続的な安全な姿勢が生まれ、回帰を防ぎ、新しい問題の導入を制限します。
ポリシーと標準: DevSecOps 戦略と新しいプラクティスが定期的にレビューされます。 組織は、AI ガバナンスとオープンソースのスポンサーで主導的な役割を果たします。
エンジニアリング システムの保護: 仮想環境でビルドとテストを続行し、ハーメティック ビルドを追加します。 一部のシナリオでは、物理的または生体認証の検証など、より強力な ID 検証が適用されます。