企画・開発・移行プロジェクト監査重要度:★★★出題: AM2・PM1・PM2

アジャイル開発・DevOpsのシステム監査

あじゃいるかいはつでぶおぷすのしすてむかんさ / Agile Development and DevOps Audit

短周期の反復開発（アジャイル）や開発と運用を融合させたDevOps環境において、スピードと柔軟性を損なわずに品質・セキュリティ・職務分離の統制が機能しているかを検証する監査です。

3行速習ポイント

短周期の反復開発（アジャイル）や開発と運用を融合させたDevOps環境において、スピードと柔軟性を損なわずに品質・セキュリティ・職務分離の統制が機能しているかを検証する監査です。
従来のウォーターフォール型の文書審査ではなく、CI/CDパイプラインの自動制御や開発着手前の体制・環境整備に着目します。
試験対策：午後I（令和6年問1）・午後II（平成30年問1）で正面から出題された重要テーマです。「CI/CDツールによる職務分離の代替」「UAT（受入テスト）自動化の限界」「開発着手前の体制・スキル・基準整備」を押さえます。

図アジャイル開発・DevOps監査における3大重点検証領域構成要素・基本原則

着手前の体制整備・CI/CDによる代替統制・テスト自動化の境界

🏛 アジャイル開発・DevOps監査における3大重点検証領域（中核を構成する 3 つの柱）

着手前統制

1. 開発着手前の体制・スキル・標準の整備

POの意思決定権限・反復開発スキル・コーディング規約浸透

要件の優先順位を即断できるプロダクトオーナ（PO）の配置、アジャイル経験者の確保、および複数チーム間でのコーディングルール遵守の徹底を開発開始前に確認する。

CI/CD代替統制

2. CI/CDパイプラインによる職務分離の代替統制

本番環境への一時的権限付与と設定変更・デプロイの自動通知

開発者に本番環境の常時アクセス権を与えず必要時のみ一時付与すること、および本番デプロイやCI/CD設定変更がスクラムマスター・責任者へ自動通知される設定を確かめる。

テスト境界統制

3. 自動テストと手動受入テスト（UAT）の適切な切り分け

単体・回帰テストの自動化と利用者視点テストの品質確保

ビルド・単体テスト・デプロイはCI/CDで自動化する一方、画面の使いやすさや業務妥当性を利用者が判断するユーザ受入テスト（UAT）は自動化範囲から除外して確実に実施させる。

💡 午後I令和6年問1および午後II平成30年問1の採点講評で指摘された「開発着手前の体制・スキル確認」「CI/CD設定による職務分離の代替」「UATを安易に自動化しないこと」は頻出ポイントです。

短周期の反復開発（アジャイル）や開発と運用を融合させたDevOps環境において、スピードと柔軟性を損なわずに品質・セキュリティ・職務分離の統制が機能しているかを検証する監査です。従来のウォーターフォール型の文書審査ではなく、CI/CDパイプラインの自動制御や開発着手前の体制・環境整備に着目します。

アジャイル開発着手前の準備監査：プロダクトオーナ（PO）の権限・判断時間確保、スクラムチームのスキル、完成の定義（DoD）・コーディング規約の整備と浸透
DevOps・CI/CDの統制監査：本番環境への常時アクセス権排除（必要時の一時付与）、パイプライン設定変更や本番デプロイ時のスクラムマスター・責任者への自動通知、および自動化に適さないユーザ受入テスト（操作性確認等）の手動実施
定量的効果・監査目標例：CI/CDパイプラインに単体テスト自動実行と本番デプロイ時の自動通知・一時権限昇格を組み込み、リリース頻度を週1回へ高めつつ未承認変更0件を達成