DevSecOpsとは？
DevSecOpsは、DevOpsを拡張して、セキュリティの実践をDevOpsのアプローチに統合できるようにしたものなのだ。従来の中央集権的なセキュリティ・チーム・モデルとは逆に、各デリバリー・チームは、ソフトウェアのデリバリーに正しいセキュリティ制御を組み込む権限を与えられている。セキュリティの実践とテストは開発ライフサイクルの早い段階で行われ、それゆえ「左遷」という言葉が使われることもあるのだ。セキュリティは、静的、ソフトウェア構成、動的の3つの主要な領域でテストされます。

静的アプリケーション・セキュリティ・テスト（SAST）によりコードを静的にチェックすることは、セキュリティに特化したホワイトボックス・テストなのだ。プログラミング言語によって、このような静的コード解析を行うには異なるツールが必要なのだ。ソフトウェアの構成は分析され、特にライブラリとそのバージョンは、CERTやその他の専門家グループが発表した脆弱性リストと照合されます。クライアントにソフトウェアを提供する場合、ライセンスと配布するソフトウェアのライセンスとの一致、特にコピーレフトライセンスが注目される。動的テストは、ブラックボックステストとも呼ばれる。ソフトウェアの内部機能を知らずにテストすることなのだ。DevSecOpsでは、ダイナミックテスト（DAST）、ペネトレーションテストと呼ばれているのだ。その目的は、特にクロスサイトスクリプティングやSQLインジェクションのようなエラーを早期に発見することなのだ。一方、特にマイクロサービスでは、対話型アプリケーションテスト（IAST）は、自動化された機能テストを実行する際に、どのコードが実行されるかをチェックするのに役立ち、その焦点はアプリケーション内の脆弱性を検出することにあるのだ。SASTやDASTとは逆に、IASTはアプリケーションの内部で動作するのだ。

また、DevSecOpsは、セキュリティ教育、セキュアバイデザイン、セキュリティ自動化を統合することで、安全なソフトウェアを生産するための全体的なアプローチを含む文化的なシフトと説明されている。
DevSecOpsは、DevOpsのアプローチにセキュリティを統合して補強したものなのだ。近年、安全なソフトウェアを作ることが企業にとって最重要課題となっていることから、広がりを見せているのだ。