株式会社デンソー様　│　SecuriST 実践的DevSecOps入門講座
～多様な開発現場におけるDevSecOps実践とセキュリティ品質保証への挑戦～

上野氏）DevSecOps入門講座には多くの部門の方が受講いただきました。どのようにお声がけしたのでしょうか？

高木氏）手を挙げて頂いた方と、声をかけた方が半々でした。募集時にセキュリティスキルを強化したい人を事務局側で選定したり、所属部門の責任者の方に推薦いただくなど、事前のすり合わせを行いました。DevOps未経験者にも参加いただいています。講座の満足度は高く、技術に対する理解だけではなく、セキュリティ文化の醸成に関する考え方を現場開発者が共通認識として持ち帰ることができた点がよかったです。

上野氏）過去に開発会社向けにセキュリティ文化を根付かせたいという要望を受けて作ったプログラムがあり、どの会社でも共通に持っている課題と認識しています。

境目氏）セキュリティ推進者とプロジェクト内の管理者による二段構えの体制が整備されつつありますが、ミッションやロールの定義や受け取り方にばらつきがあり、セキュリティチャンピオン的な動きをしてもらえるか、バランスや底上げに課題感を感じています。内製でも教育を実施していますが、聞いているだけになっていることも少なからずあり、DevSecOps入門講座のように環境が提供され、手を動かすことでスキルを身に着けることができる機会は貴重です。

上野氏）DevSecOps入門講座を受講され、どのようなことが得られましたでしょうか？

境目氏）前述の通り、DevOpsの知見が少ないメンバーも受講しており、「ハンズオンで実際に手を動かせたのが良かった」受講者の声で最も多かったのはこの言葉です。リモート講義だけでは定着しない知識も、実践を伴えば記憶に残すことができます。

さらに、現地開催による部署間交流も大きな成果でした。「他部署の質問を聞いて、自分たちの遅れを痛感した」「同じ課題を抱える仲間がいると分かった」こうした気づきが、セキュリティ文化の醸成につながっています。上野さんが語った「文化の重要性」も印象的でした。単なるスローガンではなく、実践に落とし込むための考え方を示したことで、受講者の意識は確実に変わりました。

上野氏）今後DevSecOpsなど新たな手法を根付かせていくための取り組みについてお聞かせください。

境目氏）どこかのチームで成功事例を作って横展開していくことを目指しています。仲間づくりを日々行っていくことがとても重要です。常にアンテナを立て、セキュリティ意識が高い人を巻き込んでいくことを意識して取り組んでいます。監査などのタイミングで様々な部署の人と接する機会があることから、都度積極的にコミュニケーションを取り、キーマンや意思決定ができる人を見つけ、巻き込んでいくことで、様々な取り組みを前進させることができます。DevSecOpsは、開発効率が高まり、品質のボトムラインを高めることができる手法として期待しており、活用範囲を広げていきたいと考えています。ツールによるCI/CDに対するアウトプットが定型的に提供される点は有用です。１人でも多くの人にセキュリティを好きになって欲しいと考えており、セキュリティを好きになってもらうツールとしてもDevSecOpsが活用できると考えています。

上野氏）DevSecOpsはシステマティックな点が多く、CI/CDに準じてセキュリティ実装がされていくため、システム開発者にとっても楽しんでいただけると感じます。

境目氏）DevSecOpsは短サイクルで改善を行うスマホアプリや、クラウド連携するIoT製品との親和性が高いと感じます。特にIoT製品は、出荷後の法規制対応（CRAなど）や継続的なセキュリティ対応が必須であり、DevSecOpsのエッセンスを組み込むことが品質向上とリソース効率化の鍵です。また、DevSecOpsをそのまま導入するのではなく、「エッセンス」をウォーターフォール開発を含む様々な開発プロセスにも適用できるのではないかとも考えています。開発から運用まで一貫してセキュリティを効率的に担保するという考え方は応用可能であり、手動チェックの限界を超えるための仕組み化・ツール化といった活用方法も模索していきたいと考えています。

上野氏）DevSecOpsの実装に向けて今後の展望をお聞かせください。

新出氏）受講後、ツールはどれが最適であるか、などといった質問を受けて対応しています。事業目線に立って寄り添いながら支援しています。また、活動を進めるためには各部門における文化の醸成が重要であると感じています。

境目様）DevSecOpsは一つの方法論であり、幅広く方法論を知っておくことが重要です。知らなければ選ぶことができません。DevSecOpsは効率化よりもガバナンスを効かせる、抜け漏れなくセキュリティ対策を実装していく手法としての活用を期待しています。受講を通じ、インフラとアプリ、開発と運用といった役割の違いに起因する考えの相違に対し統一見解を持ったり、セキュリティに対する知識や課題認識を同一にできたり、共通言語を持つことができたりといった効果を感じています。また、セキュリティ監査の観点では、攻撃手法をイメージし設計に反映することができると感じています。ただし、各自が有している知識や経験をしっかりと考慮していくことが求められます。

上野氏）今後の人材育成の方針についてお聞かせください。

境目様）教育は終わりのない旅です。人材育成にあたっては、内製による教育と、外部の教育を、対象者の役割に応じた研修プログラムを選択しています。「DevSecOps入門講座」は開発プロセスの設計者向け、「脆弱性診断士講座」や「Webアプリケーション設計士講座」は成果物をチェックする監査者や管理側のメンバー向けに活用しています。これらにより、監査能力の向上や監査可能な人員の拡大の実現を目指しています。

また今後は、裾野拡大という観点ではSecuriST脆弱性診断士レベルで入門層を強化、ベテラン育成という観点では高度スキルを持つ監査者や設計者の増加、ホワイトハッカー育成という観点では攻撃者視点を持つ人材を社内に増やす、ということにも取り組んでいこうと考えています。新しい技術領域が出てきたら、既存教育に織り込むか、新たにカリキュラムを立ち上げるという考え方を持っており、今回のDevSecOps講座も、そうした挑戦の一環でした。今後もGSXをはじめ、外部との連携を視野に入れながら進化を続けていきたいと考えています。