DevSecOps

DevOpsの開発プロセスにセキュリティ（Sec）を組み込む手法。開発の初期段階からセキュリティを考慮し、自動化されたセキュリティテストやコード分析をCI/CDパイプラインに統合する。

開発と運用の連携に、セキュリティの作業を最初から組み込む考え方。後付けではなく工程の各所で自動的に検査する。

DevOpsの開発ライフサイクル全体にセキュリティを統合するアプローチ。開発の初期段階からセキュリティテストや脆弱性チェックを自動化し、セキュリティをチーム全員の責任とする。シフトレフトの考え方を適用する。

DevOps（開発と運用の連携）にセキュリティを統合した開発手法。開発ライフサイクルの全段階でセキュリティを自動化・組み込み、CI/CDパイプラインにSAST、DAST、SCAなどのセキュリティテストを統合して、迅速かつ安全なリリースを実現する。

CI（継続的インテグレーション）はコード変更を頻繁にリポジトリに統合し自動テストを実行する手法、CD（継続的デリバリー）はビルド・テスト・デプロイを自動化し迅速にリリースする手法。セキュリティテストをパイプラインに組み込むことで、脆弱性の早期発見と修正を可能にする。

サーバやネットワークなどのインフラ構成をコード（定義ファイル）で管理する手法。バージョン管理、自動テスト、再現性のある環境構築が可能になる。セキュリティの観点では、設定ミスの防止、セキュリティポリシーのコードレビュー、構成のドリフト検知に有効。

セキュリティの設定確認や脆弱性評価を自動化するための標準仕様群。NISTが策定し、CVE、CVSS、CPE（共通プラットフォーム一覧）、CWEなどの個別規格を組み合わせて、セキュリティ対策の自動化と標準化を実現する。

システムの企画・設計段階からセキュリティを組み込む考え方。後付けでセキュリティ対策を追加するのではなく、開発ライフサイクルの初期段階からセキュリティ要件を考慮することで、コスト削減と高いセキュリティ水準の両立を図る。

プログラムの入力に大量の予期しないデータ（ファズ）を自動的に生成・投入し、異常動作やクラッシュを引き起こすことで未知の脆弱性を発見するテスト手法。バッファオーバーフローやフォーマットストリング脆弱性などの検出に有効。

ソースコードやバイナリを実行せずに解析し、セキュリティ上の脆弱性を検出するテスト手法。開発の早い段階で脆弱性を発見でき、CI/CDパイプラインに組み込んで自動実行される。SQLインジェクションやバッファオーバーフローなどのコーディング上の問題を検出する。