DevSecOps
ソフトウェアを作り、届け、動かす担当（開発・運用）と、セキュリティの担当が協力し、自動化の道具を使って、ソフトウェアを届ける流れの全体にセキュリティを組み込むための文化と実践の総称です（Development、Security、Operations を合わせた呼び名。「デブセックオプス」とも読む）。CISSP では
CISSPドメイン8 ソフトウェア開発のセキュリティで、開発の方法論の一つとして扱います。考え方の近い語に
シフトレフトがあります。
定義
NIST SP 800-204C（2022年3月）は、DevSecOps を「ソフトウェアを届ける責任を持つ主な関係者（開発、運用、セキュリティの組織）の間で、協力、信頼、責任の共有、透明性、自律性、俊敏さ、自動化を高めるための、文化と一連の実践（自動化の道具を伴う）」を指す語としています。同じ文書は、DevSecOps という語は、開発と運用の協力を進める DevOps の流れの中で、セキュリティの担当の役割を強調するために作られたと説明しています。また、この語の使い方について、コミュニティの全体での合意は無く、セキュリティはどの開発の流れにも欠かせないので新しい語は要らないとして、DevOps と呼び続ける人々もいると述べています。
何をするか：安全な開発の実践の枠組み
NIST の SSDF（Secure Software Development Framework、SP 800-218、2022年2月）は、安全なソフトウェア開発の実践を4つの群に分けています。DevSecOps の取り組みを整理するときの目安にできます（筆者の整理）。
| 群 |
内容 |
| 組織を備える（PO） |
人・手順・技術が、組織として安全な開発を行える状態にする |
| ソフトウェアを守る（PS） |
ソフトウェアのすべての部品を、改ざんと許可のないアクセスから守る |
| 十分に安全なソフトウェアを作る（PW） |
出荷する版の脆弱性を最小限にする |
| 脆弱性に対応する（RV） |
出荷した版に残る脆弱性を見つけて適切に対応し、同じものが再び起きないようにする |
PW の群には、たとえば次の実践があります。
- PW.1：セキュリティの要件を満たし、リスクを減らすように、ソフトウェアを設計する
- PW.4：できるときは、機能を作り直す代わりに、安全に作られた既存のソフトウェアを再利用する
- PW.7：人が読める形のコードを確認・解析して、脆弱性を見つけ、セキュリティの要件を満たすかを確かめる
- PW.8：実行できるコードを試験して、脆弱性を見つけ、セキュリティの要件を満たすかを確かめる
NIST は、SSDF の改訂版の草案（SP 800-218 Rev. 1、2025年12月17日）を公開しています。
違い・誤解しやすい点
- ''「道具を入れれば DevSecOps」''：SP 800-204C の定義のとおり、中心は文化と実践で、道具はその一部です
- ''DevOps との違い''：DevSecOps は、DevOps の協力と自動化に、セキュリティの担当の役割を加えて強調したものです（SP 800-204C）
- [[シフトレフト]]との違い：シフトレフトは、対策を開発の早い段階に移すという考え方です。DevSecOps は、担当の協力と自動化を含む、より広い文化と実践の総称です（筆者の整理）
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:18
