セキュアソフトウェア開発ライフサイクル

セキュアソフトウェア開発ライフサイクルとは？

セキュアソフトウェア開発ライフサイクル（SSDLC）とは、設計・開発からデプロイ・監視に至るまで、ソフトウェアデリバリーのすべての段階にセキュリティの実践を組み込むことを指します。

これは単に安全なコードを書くことにとどまらず、ソフトウェアを構築・提供するために利用されるツール、環境、ワークフロー全体にセキュリティを組み込むことを意味します。

SSDLC の実践は、多くの場合、コンプライアンスフレームワーク、組織のポリシー、SLSA（Supply-chain Levels for Software Artifacts）や NIST SSDF といったサプライチェーンセキュリティ標準によって指針が与えられます。

現代のアプリケーションは、迅速かつ反復的な開発に依存していますが、セキュリティ対策が初期段階で組み込まれていない場合、迅速なデリバリーはセキュリティリスクを伴うことになります。

SSDLC を導入することで、次のような効果が得られます:

ソフトウェアデリバリーの各段階でセキュリティを「第一級市民」として扱うことで、組織はシフトレフト（開発の早い段階でセキュリティを導入する考え方）を実現し、コストと複雑さの両方を削減できます。

Docker は、コンテナライフサイクル全体において SSDLC の実践を容易にするためのツールやセキュアなコンテンツを提供しています。

Docker Hardened Images（DHI）、Docker Debug 、Docker Scout を組み合わせることで、チームは開発スピードを損なうことなくセキュリティを組み込むことができます。

計画段階では、アーキテクチャ上の制約、コンプライアンス目標、脅威モデルを定義します。

Docker Hardened Images はこの段階で以下の点を支援します:

DHI のメタデータやアテステーションは、設計レビュー、脅威モデリング、アーキテクチャ承認の裏付けとして活用できます。

開発段階では、セキュリティは透過的で適用しやすいものである必要があります。

Docker Hardened Images はセキュアデフォルトの開発環境を提供します:

さらに Docker Debug により、開発者は以下を実現できます:

ビルドパイプラインは、問題を早期に発見する理想的な場所です。

Docker Scout は Docker Hub や CLI と統合され、以下を可能にします:

Docker Hardened Images を使用したビルドパイプラインには次の利点があります:

大規模にソフトウェアをリリースする際には、セキュリティ自動化が不可欠です。Docker はこのフェーズを以下のように支援します:

DHI には、デプロイ時にイメージ検証を自動化するために必要なメタデータと署名が含まれています。

リリース後もセキュリティは続きます。Docker のツールにより、以下が可能です:

Docker は、セキュアなコンテンツ（DHI）と開発者に優しいツール（Docker Scout や Docker Debug）を組み合わせることで、SSDLC 全体にセキュリティを組み込む支援を行います。

これらの統合により、摩擦を生じさせることなくセキュアな実践を推進でき、ソフトウェアデリバリーライフサイクル全体にわたって、コンプライアンスやサプライチェーンセキュリティを容易に採用できるようになります。