Microsoft Security Development Lifecycle (SDL)は、Microsoft がセキュリティを DevOps プロセスに統合するために採用しているアプローチです (DevSecOps アプローチと呼ばれることもあります)。この SDL ガイダンスとドキュメントを活用することで、このアプローチとプラクティスを組織に合わせて適用できます。
概要
SDLアプローチで概説されている手法は、従来のウォーターフォール型開発手法から最新のDevOpsアプローチまで、あらゆる種類のソフトウェア開発とあらゆるプラットフォームに適用可能です。一般的に、以下のものに適用できます。
- ソフトウェア開発 – ファームウェア、AIアプリケーション、オペレーティングシステム、ドライバ、IoTデバイス、モバイルデバイスアプリ、Webサービス、プラグインまたはアプレット、ハードウェアマイクロコード、ローコード/ノーコードアプリ、その他のソフトウェア形式など、開発するソフトウェアの種類を問わず適用できます。SDLのほとんどのプラクティスは、セキュアなコンピュータハードウェア開発にも適用可能であることに注意してください。
- プラットフォーム– ソフトウェアが「サーバーレス」プラットフォームのアプローチで実行されているか、オンプレミスのサーバー、モバイルデバイス、クラウドホスト型VM、ユーザーエンドポイント、サービスとしてのソフトウェア（SaaS）アプリケーションの一部として、クラウドエッジデバイス、IoTデバイス、またはその他の場所で実行されているか。
実践
SDLは、開発ワークフローに組み込むべき10のセキュリティ対策を推奨しています。SDLの10のセキュリティ対策の適用は継続的な改善プロセスであるため、まずはどこかから始めて、進めながら改善していくことが重要です。この継続的なプロセスでは、セキュリティスキルと対策をDevOpsワークフローに組み込むにつれて、組織文化、戦略、プロセス、および技術的な制御に変更を加える必要があります。
SDLの10の実践方法は以下の通りです。
- セキュリティ基準、指標、およびガバナンスを確立する
- 実績のあるセキュリティ機能、言語、フレームワークの使用を義務付ける
- セキュリティ設計レビューと脅威モデリングを実施する
- 暗号化標準を定義して使用する
- ソフトウェアサプライチェーンのセキュリティを確保する
- エンジニアリング環境を安全に保護する
- セキュリティテストを実施する
- 運用プラットフォームのセキュリティを確保する
- セキュリティ監視と対応を実施する
- セキュリティトレーニングを提供する
さらに読む
- 文化、戦略、プロセスを確立する -イノベーションセキュリティ（CAF Secure）
- Define Security Practices and Controls - DevSecOps controls
- Assess your current workloads with the well architected security assessment - Well Architected Review
