DevSecOpsとは？でぶせくおぷす
DevSecOpsとは、DevOpsの自動化されたパイプラインにセキュリティを組み込み、開発の初期段階から継続的に検査する考え方。コードの静的解析（SAST）、依存ライブラリの脆弱性検査（SCA）、動作中のアプリへの動的検査（DAST）、コンテナイメージ検査、シークレット検出、IaCの設定検査をCI/CDの中で回し、手戻りの大きい後工程やリリース後での発見を減らす（シフトレフト）。結果はバックログに載せ、開発チームが日常の作業として直す。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
リリース直前にまとめて脆弱性診断をすると、指摘の修正が間に合わずリリースが遅れるか、指摘を抱えたまま出すかの二択になる。DevOpsで週に何度もリリースする開発では、月1回の診断では追いつかない。だから検査を人手のゲートから自動の工程へ変え、コミットのたびに回す形にした。支援士では、セキュリティテストを開発過程で繰り返すことと、仕様変更時にセキュリティへの影響を評価することが要求事項として問われる。
具体例
GitHubのCodeQL（SAST）・Dependabot（SCA）・シークレットスキャンをCIに組み込み、重大度Highが出たらマージを止める運用にする。月1回の手動診断では修正が数週間遅れていたのが、プルリクエストの段階で直るようになる。既存の警告800件は一度に直せないので新規追加分のみを基準にし、既存分は四半期ごとの削減目標に置く。
試験での引っ掛け
セキュリティ機能の試験は、リリース前にまとめて行うのではなく開発過程の中で繰り返し実施することが求められる。仕様変更の際には、その変更がセキュリティに与える影響の評価が必要になる。またツールを入れれば終わりではなく、検出結果を直す責任を開発チームに置き、脅威モデリングや設計レビューといった自動化できない活動は残る。SASTとDASTは検査対象と時点が違い、片方で他方の代わりにはならない。
関連用語
出典・参考
公式シラバスの4 開発技術 ＞ 1. 開発プロセス・手法 ＞ (1) ソフトウェア開発手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。