シフトレフト
ソフトウェアのセキュリティの確認や対策を、作り終わった後に回すのではなく、設計や実装など開発の早い段階に移す考え方です（英語では shift left。開発の流れを左から右へ描いたときに、作業を左へ寄せることから）。CISSP では
CISSPドメイン8 ソフトウェア開発のセキュリティで扱い、ISC2 の2027年4月15日発効の試験アウトラインでは、開発の流れにセキュリティを組み込む項目（8.1）の中に「Shift left」が挙げられています。考え方の近い語に
DevSecOpsがあります。
定義
NIST の SSDF（Secure Software Development Framework、SP 800-218、2022年2月）は、その導入の部分で、開発の流れ（SDLC）の早い段階でセキュリティに取り組むほど、同じ水準のセキュリティを得るために最終的に要る労力と費用が、一般に少なくて済むとし、「シフトレフト」として知られるこの原則を説明しています。SSDF は、この原則は開発の流れのモデルが何であっても非常に重要で、技術的負債（後で直さなければならなくなる手戻り）を最小にするとしています。
何をすることか
シフトレフトは考え方で、手順を定めた規格ではありません。具体的な実践は、SSDF の4つの群（組織を備える、ソフトウェアを守る、十分に安全なソフトウェアを作る、脆弱性に対応する）に沿って整理できます（筆者の整理。
DevSecOpsのページに各群の内容があります）。
違い・誤解しやすい点
- 「左に寄せれば、後の確認は要らない」：SSDF には、出荷した版に残る脆弱性を見つけて対応する群（脆弱性に対応する、RV）があります。早い段階の対策は、出荷後の対応に置き換わるものではありません（筆者の整理）
- 費用が下がるという説の扱い：SSDF は、早いほど労力と費用が少ないことを「一般に」成り立つ原則として述べています。SSDF のこの部分は、どれだけ下がるかの数字を示していません
- [[DevSecOps]]との違い：シフトレフトは、対策を「いつ」行うかについての考え方です。DevSecOps は、担当の協力と自動化を含む、文化と実践の総称です（筆者の整理）
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:19
