セキュリティが原因でリリースが遅れる――。その解決の鍵を握るのは「DevSecOps」と「SecDevOps」だ。似て非なる両者の違いと、自社に適した選択基準を解き明かす。
アプリケーション開発と運用の各工程にセキュリティを組み込む手法を「DevSecOps」と呼ぶ。その似ている概念として、最近は「SecDevOps」も認知度が高まりつつある。SecDevOpsはどのようなもので、DevSecOpsとはどう違うのか。それぞれの特徴や、メリット・デメリットを整理する。
DevSecOpsとSecDevOpsは、どちらもCI/CD（継続的インテグレーション／継続的デリバリー）にセキュリティを統合する手法だが、セキュリティの位置付けやセキュリティをどう統合するかといった点において違いもある。
DevSecOpsはもともとあった「DevOps」（開発と運用の融合）にセキュリティを追加した。セキュリティ担当者は開発者や運用者と密接に協力するが、プロジェクト全体の管理やガバナンスの監督について開発者と運用者が主役になる。
一方、SecDevOpsはセキュリティを最優先に考えるのが特徴だ。開発と運用チーム内にセキュリティ機能を完全に統合するとともに、セキュリティ担当者の責任も明確にする。セキュリティ担当者を「外部の人」として捉えるのではなく、同じ責任を持つメンバーとして迎え入れるというわけだ。
DevSecOpsでは、開発、運用、セキュリティの各担当者は共通の目標達成に向けて「別々の焦点やミッション」を持って協力する。対照的に、SecDevOpsではそういった壁をなくし、一丸になってプロジェクトに取り組む。そのため、開発者と運用者にはセキュリティの専門知識が求められ、セキュリティ担当者にはシステム設計やコードレビューといった開発、運用分野の専門知識が求められる。
DevSecOpsとSecDevOpsにはそれぞれの利点と欠点がある。ある企業にとっての利点が別の企業にとっての欠点となることも考えられる。以下で詳しく見てみよう。
DevSecOpsとSecDevOpsのどちらが最適かは、企業のIT成熟度、規制上の制約、組織文化などに依存する。
DevSecOpsとSecDevOpsはどちらも迅速に安全なソフトウェアを提供することを目指しているが、セキュリティがどれだけ深く統合され、誰がその責任を持つかに違いがある。DevSecOpsは専門チーム間の協力を通じてセキュリティを組み込み、ガバナンスと役割分担を維持する。SecDevOpsはセキュリティを完全に融合し、プロセスの不可分かつ自動化された部分とする。
規制が厳しい業界の企業は、DevSecOpsの集中管理によって規制が守りやすくなる。クラウドネイティブや製品駆動型の企業は、SecDevOpsを採用して、セキュリティをアジャイルなワークフローに直接組み込めるようになる。
Copyright © ITmedia, Inc. All Rights Reserved.
なぜクラウド全盛の今「メインフレーム」が再び脚光を浴びるのか
メインフレームを支える人材の高齢化が進み、企業の基幹IT運用に大きなリスクが迫っている。一方で、メインフレームは再評価の時を迎えている。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
