組織変革・プロジェクトマネジメント重要度:★★★出題: AM2・PM1・PM2

DevOps / DevSecOps

でぶおぷす / でぶせくおぷす / DevOps / DevSecOps

開発（Dev）、運用（Ops）、セキュリティ（Sec）が密接に連携し、CI/CDにより迅速かつ安全に価値を継続提供する協調文化。

3行速習ポイント

「変更を求める開発」と「安定を求める運用」の対立構造を解消し、共通のビジネス目標に向かわせる。
DevSecOpsはセキュリティを開発の初期段階から組み込む「シフトレフト（Shift Left）」を実践する。
自動ビルド・テスト・デプロイ（CI/CDパイプライン）により、リリースサイクルを数ヶ月から数時間へ短縮する。

図解

図DevSecOpsの無限ループ（シフトレフト統合）循環・改善サイクル

開発・セキュリティ・運用の境界なき一体循環

🔄 継続的フィードバック＆改善サイクル（Phase進行 ➔ 次サイクルへ還流）

1Plan & Code

脅威分析・実装➔ Step 2

要件・設計・コーディング

企画・設計段階から脅威モデリングを行い、開発者のIDE上でセキュアコーディング規約チェックと認証認可設計を組み込む（シフトレフトの起点）。

2Build & Test (Sec)

自動CI・SAST➔ Step 3

自動CI / 静的テスト(SAST)

ソースコードのリポジトリプッシュをトリガーに、自動ビルド・単体テストに加え、静的コード解析（SAST）とOSSライブラリの脆弱性検査（SCA）を自動実行する。

3Release & Deploy

自動CD・無停止➔ Step 4

自動CD / IaC本番反映

動的脆弱性診断（DAST）やコンテナイメージ署名をクリアした成果物を、IaCとブルーグリーン/カナリアデプロイによって本番環境へ無停止かつ安全に自動配備する。

4Operate & Monitor

監視・還流↩ Step 1へ

本番監視＆改善フィードバック

本番稼働中のパフォーマンス指標、操作ログ、不審な通信（EDR/SIEM）を常時監視し、検知した課題や改善要望を即座に次スプリントの計画（Plan）へフィードバックする。

💡 午後I・午後IIでは高速リリースと品質・安全性を両立するため、CI/CDパイプラインに自動テストと脆弱性診断（シフトレフト）を組み込む仕組みを論述する。

概要と本質

DevOpsは単なるツール（GitHubやJenkins）ではなく、開発・運用・ビジネスの壁（サイロ）を取り払う企業文化と組織体制です。DevSecOpsでは、リリース直前のセキュリティ審査で脆弱性が見つかり差し戻される事態を防ぐため、コード作成時やコミット時に自動静的解析（SAST）や依存関係チェックを行い、セキュリティを開発の日常作業に埋め込みます。