アジャイル開発のセキュリティ生産性を上げる！シフトレフト、セキュリティ・バイ・デザイン実践のポイント

【23-C-3】シフトレフトで挑む　セキュリティ対策の生産性向上

　ソフトウェアプロダクト開発は、試行錯誤を繰り返しながら新しい取り組みにチャレンジするものであり、近年ではアジャイル開発が普及している。そのセキュリティの生産性向上のために、「シフトレフト」と「セキュリティ・バイ・デザイン」という2つのキーワードがある。NRIセキュアテクノロジーズ株式会社（以下、NRIセキュア）の関戸亮介氏は、この2つの概念の重要性と、プロダクト開発における同社のソリューションやコンサルティングの活用法について紹介した。

プロダクト開発のトレンドは、アジャイル開発による継続的な仮説検証へ

　NRIセキュアは、野村総合研究所（以下、NRI）グループの情報セキュリティ専門企業で、1995年にNRIの社内ベンチャーとしてスタートしたのち2000年に設立された。コンサルティングからソリューション導入、教育、運用、監視まで、企業の情報セキュリティに関するあらゆるニーズにワンストップで対応し、安心・安全なIT社会の実現を目指している。

　関戸氏は同社のエキスパートセキュリティコンサルタントとして、組織やシステムに合わせたセキュリティ設計、開発プロセスの策定、自動化ツールの評価、CI/CDパイプラインの組み込み支援を行っている。また、同社が提供するDevSecOpsトレーニングの開発と講師も務めている。

NRIセキュアテクノロジーズ株式会社 DXセキュリティコンサルティング事業本部 シフトレフトセキュリティ事業部 エキスパートセキュリティコンサルタント 関戸 亮介氏

　NRIセキュアでは、ソフトウェアプロダクト開発は非常に重要であり、その活動を通じて日本や世界に新しい価値を提供することができると考えている。関戸氏は「ソフトウェア開発を通じ、セキュリティから支えることで価値のある社会づくりに貢献することをミッションとしてサービスを展開しています」と述べた。

　プロダクト開発は、継続的にサービス開発に投資し、競争力を高めながら次々にシステムをリリースする活動だ。この継続的な投資が重要視されている。新しい価値を提供するためには継続した仮説・検証が不可欠だ。利用者のニーズを模索し、試作をリリースして評価する。評価が良ければさらに発展させ、悪ければ別のものを作る。

新たな価値創造には継続的かつ高速な試行とフィードバックが必要

　関戸氏は「従来のウォーターフォール開発のように明確に要件を決めて開発をするというプロセスではなく、少しずつ作っていくアジャイル開発が着目されています」と話す。例えば、ウォーターフォール開発で4カ月に1回リリースする間に、アジャイル開発では2週間に1回のリリースで計8回のリリースができ、その間に顧客のフィードバックを得て改善し、競争力を高めることができる。