Security Scan, Compliance, and Quality Gate
A focused chapter on security scan, compliance, and quality gate, with practical delivery concerns, trade-offs, and the operational questions behind CI/CD work.
パイプラインでセキュリティとコンプライアンスをチェックする理由
CI/CDパイプラインにセキュリティとコンプライアンスのチェックを組み込む重要性を解説。シークレットスキャン、依存関係スキャン、SAST、コンテナイメージスキャンなど、具体的な実装方法と段階的な導入アプローチを紹介します。
パイプラインで実際にチェックできること（セキュリティスキャンだけじゃない）
デプロイパイプラインにチェックを追加する際、多くのチームはまずアプリケーションコードのセキュリティスキャンを思い浮かべます。しかし、パイプラインを流れる成果物はコードだけではありません。依存関係、コンテナイメージ、IaC、シークレット、ライセンス——それぞれにリスクがあります。この記事では、パイプラインで実行できる多様なチェックとそのベストプラクティスを解説します。
パイプラインを失敗させるべき時と、警告だけで良い時
CIパイプラインにセキュリティスキャナを追加した時、すべての検出結果でパイプラインを失敗させるべきか、それとも警告だけにするべきか。現実的な閾値の設定方法とリスクベースの品質ゲートの構築方法を解説します。
セキュリティパイプラインがすべてをブロックするとき：抜け穴を作らずに例外を処理する方法
CIパイプラインのセキュリティスキャンがチーム依存のライブラリに脆弱性を検出。パッチ未提供でパイプラインが停止した場合の対処法。例外処理の4つのルールと実践的チェックリストを解説。
セキュリティルールがドキュメントの中にあると無視される
セキュリティルールをドキュメントで管理すると、解釈のブレや適用漏れが発生します。ポリシーをコード化しパイプラインに組み込むことで、一貫性、テスト容易性、監査可能性を実現する方法を解説します。
パイプラインにおける品質ゲートの配置場所は、スキャン内容よりも重要である
パイプライン内の品質ゲートの配置場所が、開発者のフィードバック速度とリソース効率に与える影響を解説。シークレットスキャン、依存関係スキャン、コンテナイメージスキャン、IaCスキャンの最適な配置と、避けるべきパターンを実践的に紹介。
セキュリティスキャン結果が無視される理由とその対策
パイプラインにセキュリティスキャンを導入しても、結果が無視される問題を解決する方法を解説。アクション可能な結果提示、所有権の明確化、自動エスカレーション、トレンド分析の実践的アプローチを紹介。
セキュリティガードレールが機能しなくなったとき：パイプラインの効果を測定し改善する方法
CI/CDパイプラインにセキュリティスキャンや品質ゲートを導入しても、時間とともに効果が低下する。本記事では、ガードレールの効果を測定する3つの指標（誤検知率、バイパス率、平均対応時間）と、継続的に改善するための実践的なチェックリストを紹介する。