‹

DevSecOps

シラバスに追加済み・まだ出題なし最終更新日 予想問題へ ↓

DevSecOps は，開発（Development）と運用（Operations）が連携して素早くリリースを繰り返す DevOps に， セキュリティ（Security）の活動を最初から組み込む考え方です。 リリースの直前にまとめて脆弱性診断をするのではなく，設計・実装・テスト・運用の各段階で，自動化した検査を継続的に行います。

シラバスでの扱い

IPA が 2023年12月25日に公開した応用情報技術者試験シラバス Ver.7.0 で， 「大分類4：開発技術」の「ソフトウェア開発手法」の DevOps の用語例に加わりました（その前の Ver.6.3 にはありません）。 同じ並びには，同時にオブザーバビリティ（可観測性）・OpenTelemetry・Four Keys・カオスエンジニアリングも加わっています。 この改訂は，ペーパー方式では令和6年度秋期試験から適用されています。

当サイトが収録している過去問（令和7年度秋期まで）では，DevSecOps という語はまだ出題されていません。 一方，その中身にあたる SBOM による脆弱性管理や，ソースコードの自動検査のツールは，すでに午前で出ています（下の「近い論点で出題された過去問」）。

出典：IPA「情報処理技術者試験及び情報処理安全確保支援士試験における出題範囲・シラバスの一部改訂について」， 応用情報技術者試験 シラバス Ver.7.0（いずれも2026年10月3日に確認）

シフトレフト：問題は早く見つけるほど安く直せる

工程を左から右へ並べたとき，セキュリティの確認を左（上流の工程）へ寄せることをシフトレフトと呼びます。 設計の誤りをリリースの直前に見つけると，作り直しの範囲が広く，直す費用も時間も大きくなります。 早い段階で小さく見つけて直すほど，手戻りが少なくて済みます。

段階組み込むセキュリティの活動の例
設計脅威分析（どこがどう攻撃されうるかを洗い出す），セキュリティ要件の決定
実装ソースコードの静的解析，認証情報（パスワード・鍵）の書込みの検出，プルリクエストでのレビュー
ビルド依存するライブラリの一覧（SBOM）を作り，既知の脆弱性の情報と照合する
テスト動いているアプリケーションに攻撃に近い要求を送る動的な検査，ファジング
運用新たに公表された脆弱性の監視，ログの監視，インシデントへの対応

これらを人手で毎回行うのは無理なので，CI/CD のパイプラインに検査を組み込んで自動化するのが DevSecOps の実際です。 そして，セキュリティを専門の部署だけの仕事にせず，開発・運用・セキュリティの担当者が責任を共有します。

試験での問われ方（予想）

近い論点で出題された過去問

SBOM，ソースコードの自動検査のツール，DevOps に関係する問題です。

予想問題（オリジナル）

当サイトが作ったオリジナルの問題です。IPA の過去問ではありません。

問1DevSecOps の説明として，最も適切なものはどれか。

  1. ア開発と運用が連携して素早くリリースを繰り返す流れに，セキュリティの活動を設計の段階から組み込み，自動化した検査を継続的に行う。
  2. イセキュリティを専門とする部署が開発チームから独立して，リリース後のインシデント対応だけを担当する。
  3. ウ本番環境で意図的に障害を発生させ，システムの挙動を観察して耐障害性を高める。
  4. エリリースの直前に，外部の専門家が全ての機能を対象にした脆弱性診断をまとめて行い，指摘を全て直してからリリースする。
正解と解説

正解：ア

DevSecOps は，セキュリティを最後の関門ではなく，各段階に組み込まれた継続的な活動にします。

  • イ：セキュリティを専門の部署だけの仕事にする考え方で，DevSecOps の「責任の共有」と逆です。
  • ウ：カオスエンジニアリングの説明です（SC 午前Ⅱ 令和5年度秋期 問22 で出題）。
  • エ：最後にまとめて確認する従来のやり方です。見つかった問題の手戻りが大きくなります。

問2CI/CD のパイプラインで，ソフトウェアが利用しているオープンソースのライブラリに既知の脆弱性が含まれていないかを，ビルドのたびに自動で確かめたい。適切な方法はどれか。

  1. ア稼働中のアプリケーションに，攻撃者が送るような要求を送り，その応答から脆弱性を見つける。
  2. イソフトウェアを構成するライブラリとその版の一覧（SBOM）を作成し，脆弱性の情報のデータベースと照合する。
  3. ウ想定していない形式のデータを大量に入力し，異常な動作を引き起こすかどうかを調べる。
  4. エ専門の技術者が攻撃者の立場で，実際にシステムへの侵入を試みる。
正解と解説

正解：イ

利用しているライブラリと版の一覧（SBOM）があれば，新しい脆弱性が公表されたときにも，影響を受けるかどうかをすぐに調べられます。ビルドのたびに自動で作って照合できます。

  • ア：動的な検査（DAST）の説明です。自作の部分の脆弱性は見つけられても，使っているライブラリの版までは分かりません。
  • ウ：ファジングの説明です。
  • エ：ペネトレーションテストの説明です。手間が掛かり，ビルドのたびには行えません。

関連する用語

プルリクエスト（Git のブランチとレビュー）　オブザーバビリティ（可観測性）　テスト技法（ブラックボックス・ホワイトボックス）　インジェクション攻撃（SQL・OS コマンド）