DevSecOps、その前に。「何をどこまで守る？」から始めるセキュリティアーキテクチャ

セキュリティ人材が不足する中、複雑化・分散化するCloud Nativeなシステムを守るために、DevSecOpsは重要なアプローチです。しかしDevSecOpsを進めるとき、開発者の「セキュリティへの苦手意識」が壁になります。

では、「セキュリティが苦手」な人がどこでつまずいているか、想像できるでしょうか。とある組織で、セキュリティに苦手意識を持つ当事者に、その「苦手」のDomain Expertとして開発へ参加してもらい、トレーニングを作りました。そこで見えてきたのは、問題は必ずしもセキュリティ知識の不足ではない、ということでした。用語や対策を知っていても、それを自分たちのアーキテクチャに結びつけ、「何を、どこまで守るか」を判断できない。必要だったのは、知識を実際の設計に適用し、判断する力でした。

本セッションでは、「セキュリティアレルギー克服」を目指し、セキュリティを専門としない開発者でも基礎的な脅威モデリングができるようにする設計演習を、ツール頼りにならないDevSecOpsの始め方としてご紹介します。