HOME/ビジネス/AIソリューション/DevSecOpsソリューション
DevSecOpsソリューション
GitHub・Azure・AIエージェントによるAgentic DevSecOps
GitHubとMicrosoft Azureを中核に、セキュリティを
01/概要
DevSecOpsとは：開発・運用の各工程にセキュリティを組み込むシフトレフトの実践
DevSecOpsは、
工程
組み込むセキュリティ
主な技術
設計
セキュリティ要件の整理、データフローの可視化、脅威モデリング
Microsoft SDL、STRIDE、DevOps脅威マトリクス
開発
シークレット、コード、依存関係の脆弱性をプッシュとプルリクエストで検知・修正
GitHub Advanced Security、CodeQL、Dependabot、Copilot Autofix
CI/CD
品質・セキュリティゲート、標準ワークフロー、ランナーと権限の統制
GitHub Actions、Azure DevOps
クラウド
コードからデプロイ先のクラウド資産までのセキュリティ態勢を可視化
運用・監視
GitHubの監査ログとクラウドの脅威を検知し、対応を自動化
Microsoft Sentinel、Logic Apps
02/注目される背景
AI生成コード・ソフトウェアサプライチェーン・レガシーCI/CDが広げる開発のリスク
GitHub Copilotなどの
AI生成コードの増加
AIによる開発でシークレットの混入
APIキーや資格情報がソフトウェアサプライチェーン
オープンソースのレガシーなCI/CD
Jenkinsや開発とクラウドの分断
コードの指摘と検査が開発の後工程にある
リリース前にまとめて03/構成要素
DevSecOpsの8つのレイヤー：脅威モデリングからAIによる修正・組織標準化まで
ツールの導入より
ASSESSMENT診断・脅威
開発プロセスの現状を整理し、データフローの可視化とSTRIDEによる脅威モデリングで、脆弱性が生まれる工程とセキュリティゲートの置き場所を決めます。
診断・脅威モデリング
開発プロセスのGOVERNANCEOrganization、権限、ブランチ、監査とトレーサビリティのルールを、Microsoft Entra IDと組み合わせて設計します。
IDとGitHubガバナンス
GitHub EnterpriseのCODECode Security、Dependabotで、シークレット・コード・依存関係の問題を検知します。
コードの保護
GitHub Advanced SecurityのSecret Protection、MONITORING継続監視と
Microsoft SentinelでGitHub Enterpriseの監査ログを監視し、不審なアクセスや設定変更を検知して、Logic Appsで対応を自動化します。
継続監視と自動対応
Microsoft SentinelでGitHub EnterpriseのAI REMEDIATION修正案、Copilot Code Review、Coding Agentへの脆弱性修正の委任で、検知から修正までの時間を短くします。
AIによる修正
Copilot Autofixの04/進め方
セキュアな開発ライフサイクル：設計・開発・CI/CD・クラウド・監視・AI修正
個別のツールを
STEP 1設計セキュリティ要件と脅威モデルから、工程ごとのセキュリティゲートを設計します。
STEP 2開発プッシュとプルリクエストの段階で、シークレット・コード・依存関係の問題を見つけます。
STEP 3CI/CD標準ワークフローに品質とセキュリティのゲートを組み込み、ランナーと権限を統制します。
STEP 4クラウドデプロイ先のクラウド資産の態勢とIaCの設定を、コードの指摘と並べて管理します。
STEP 5監視GitHubの監査ログとクラウドの脅威を監視し、検知した問題をIssueとして起票します。
STEP 6AI修正と組織標準化 AIが修正案を作り、開発者が承認します。得られた知見をSAIDDarで組織の標準に戻します。
検知から修正への流れ
段階でGHASが検知し、Copilot Autofixが修正案を示します。クラウドへのデプロイ後はDefender for CloudとSentinelが監視し、Logic AppsでGitHub Issueを起票して、修正を開発の流れに戻します。
プッシュ・PR→GHASの検知→Copilot Autofix→Defender for Cloud→Sentinel→GitHub Issue
プッシュとプルリクエストの05/当社の支援
開発基盤の刷新・開発フローへの組み込み・Agentic DevOpsまでの連続した支援
当社はGitHubの
PLATFORM棚卸しし、GitHub Actionsへの移行、Organizationと権限の設計、セルフホストランナーの運用まで、セキュアな開発基盤に作り替えます。
開発基盤の刷新
既存のCI資産をSHIFT LEFT開発フローへの
セキュリティの検知と修正を、プッシュ・プルリクエスト・CI/CDの中に置き、開発者の普段の作業として回るようにします。
開発フローへの組み込み
セキュリティのAGENTICAI駆動開発との
AIによる開発の加速と、AIによる検知・修正・トリアージを同じ流れで設計し、その進め方をSAIDDarで組織の標準にします。
AI駆動開発との連続性
AIによる開発の作る段階開発ライフサイクルを守ります。コード、依存関係、CI/CD、デプロイ先のクラウドまでが対象です。
Agentic DevSecOps
ソフトウェアと06/支援メニュー
8つの支援メニュー：現状診断からGitHubガバナンス・セキュアなCI/CD・内製化まで
お客様の開発環境と
01権限、CI/CD、監査、脆弱性対応の現状を整理し、成熟度とリスクを評価します。Microsoft SDLと脅威モデリングで、優先して置くセキュリティゲートを決めます。
DevSecOpsの現状診断
開発環境、プロセス、02GitHub Enterpriseの
Organizationとリポジトリの初期設定、権限、ブランチ戦略、監査ルール、管理者運用ガイドを作ります。閉域やオンプレミスが必要な場合はGitHub Enterprise Serverも対象にします。
GitHub Enterpriseのガバナンス設計
Organizationと03GitHub Advanced Securityの
GitHub Advanced SecurityのSecret Protection、Code Security、Dependabot、CodeQL、Copilot Autofixを、組織共通のセキュリティ設定として展開します。
GitHub Advanced Securityの導入・最適化
GitHub Advanced SecurityのSecret Protection、04Gerritなどの既存CI資産を棚卸しし、GitHub Actionsへの移行方式、標準ワークフローのテンプレート、セキュリティゲート、ランナーの統制を設計します。
セキュアなCI/CDへの移行
Jenkinsや05Microsoftの
Defender for Cloud、Microsoft Sentinel、Logic Apps、Entra IDで、GitHubからクラウドまでの可視化・監視・自動対応を設計します。
Microsoftのクラウドセキュリティとの統合
Defender for Cloud、06Copilot Code Review、AIによるトリアージと脆弱性修正を、人の承認を含む開発の流れに組み込みます。Microsoft MDASHやClaude Securityとの組み合わせも検討します。
Agentic DevSecOps
Coding Agent、08専門的な検証は、必要に応じて専門パートナーと連携し、結果を設計と改善の実装に反映します。
専門パートナーとの連携
ペネトレーションテストなどの07/特長
特長 1/4
ツールの導入より
ツールの導入より前に、開発プロセスと脅威を可視化
最初に行うのは、
特長 2/4
レガシーなCI/CDから、
レガシーなCI/CDから、セキュアな開発基盤への移行
Jenkinsや
特長 3/4
コードからクラウドの
コードからクラウドの監視までを、1つのセキュリティループに
GitHub Advanced Securityで検知したシークレット・コード・依存関係の問題を、Microsoft Defender for Cloudでクラウドの態勢や
特長 4/4
AIで開発を速めながら、
AIで開発を速めながら、AIで検証・修正し、組織標準として残す
当社はGitHub Copilot Coding Agentを
08/顧客価値
課題・打ち手・価値の因果と、役割別の効果
よくある課題
DevSecOpsで行うこと
得られる価値
シークレットや脆弱性に、リリース後に気付く
プッシュとプルリクエストの段階で、GHASが検知・ブロックする
手戻りの小さい段階で直せ、流出の事後対応が減る
AIが書くコードのレビューが追いつかない
Copilot AutofixとCode Reviewで修正案を作り、開発者が承認する
レビューの範囲を広げながら、修正の判断は人に残せる
部署ごとにCI/CDと権限がばらばら
GitHub Actionsの標準ワークフローとOrganizationの統制に移行する
全社で同じセキュリティゲートと監査ルールを適用できる
コードとクラウドのリスクを別々に見ている
GitHubをDefender for Cloudに接続し、Sentinelで監査ログを監視する
開発から本番までのリスクを1つの画面で説明できる
セキュリティ対応が特定の担当者に依存する
SAIDDarで基準と手順を標準化し、ハンズオンで定着させる
人が入れ替わっても、同じ水準でセキュア開発を続けられる
CIO・CISO
AIによる開発を開発チーム
指摘と修正案をセキュリティ担当
組織共通のセキュリティ開発基盤・プラットフォーム担当
CI/CD、ランナー、09/ユースケース
業界別ユースケースと、適合する企業・Discovery質問
PUBLIC SECTOR開発に、GitHub Enterprise Serverと厳格な権限統制を組み合わせ、監査の記録を残します。
官公庁・公共
閉域環境が求められるFINANCEシステムの開発で、セキュリティゲートと例外の承認を記録し、監査に対応します。
金融・保険
顧客情報を扱うMANUFACTURING含む多数の開発チームで、既存のCI基盤をGitHub Actionsへ移行し、ルールを揃えます。
製造業
組込みや生産系をRETAIL開発速度を保ちながら、シークレットの混入や依存関係の脆弱性を本番前に見つけます。
流通・EC
顧客向けアプリのSOFTWARE増えるコードを、GHASとAIによる修正で継続的に検査し、プルリクエストの流れで直します。
ソフトウェア・SaaS
AI駆動開発でIT OPERATIONSIT運用・情報
社内システムの開発と運用を、GitHubからクラウドの監視まで同じ体系で管理し、インシデントの対応を自動化します。
IT運用・情報システム
社内システムの適合する企業
- GitHubや
Azure DevOpsを 利用している、 または移行を検討している - AI駆動開発を
個人の利用から 組織の標準へ広げようとしている - 部署ごとにCI/CDや
権限のルールが分かれている - 開発とセキュリティの
担当の間で、指摘の 受け渡しが滞っている
適合しにくい企業
- 自社でソフトウェアの
開発や保守を行っていない - ペネトレーションテストなど、
単発の診断だけを求めている - 開発基盤やルールの
変更に、当面着手できない
最初の打ち合わせでお聞きすること
- 利用しているリポジトリ管理と
CI/CDの基盤 （GitHub、 Azure DevOps、 Jenkinsなど）を 教えてください。 - リポジトリの数、
開発者の数、開発チームの 分かれ方はどの くらいですか。 - コードのセキュリティレビューや
脆弱性の修正は、 いつ、誰が、どの 範囲で行っていますか。 - シークレットの
混入や依存関係の 脆弱性に、どのように 気付いていますか。 - GitHub Copilotなどの
AIによる開発を、どの 範囲で利用していますか。 - 閉域環境、監査、
業界規制など、 開発基盤に求められる 要件はありますか。
10/想定ROI
脆弱性修正・コードレビュー・依存関係更新・監査準備の工数試算
開発者200名、
項目
前提
現状
導入後
削減（年）
脆弱性の修正
月80件。Copilot Autofixの修正案をもとに開発者が修正
3時間/件
1.5時間/件
約1,440時間
コードレビュー
月40件のプルリクエスト。AIのレビューで観点を事前に確認
2時間/件
1時間/件
約480時間
依存関係の更新
月60件。Dependabotのプルリクエストで更新
1時間/件
0.3時間/件
約500時間
CI/CDパイプラインの保守
部署ごとの個別ワークフローを標準テンプレートに統合
月50時間
月20時間
約360時間
シークレット混入の事後対応
年12件。プッシュの段階でブロック
16時間/件
4時間/件
約140時間
監査・報告の準備
年4回。GitHubの監査ログと指摘の対応状況を報告
60時間/回
20時間/回
約160時間
合計 年間約3,100時間の工数削減（試算）
11/他の手段との違い
セキュリティツールの単体導入・脆弱性診断の外部委託との違い
観点
ツールの単体導入
脆弱性診断の外部委託
当社のDevSecOpsソリューション
検査の時期
設定した範囲で継続的に検査する
リリース前などの時点で検査する
設計から運用までの各工程にゲートを置く
開発との接続
指摘が開発の作業として回らないことがある
報告書を受けて、修正は社内で対応する
指摘と修正案をプルリクエストやIssueで開発に戻す
CI/CDとクラウド
ツールの対象範囲に限られる
委託の範囲外になりやすい
CI/CDの移行からクラウドの監視までを1つの体系で設計する
AIによる開発
AI生成コードの扱いは利用者に任される
検査の対象は時点のコードに限られる
AIによる修正と、人の承認を設計する
組織への定着
設定した時点で止まりやすい
社内に知見が蓄積しにくい
SAIDDarとハンズオンで、社内で回せる状態にする
12/ガバナンス
セキュリティゲートと例外運用：AIによる修正と人の承認の責任分界
AIエージェントが
CIO・CISO
セキュリティゲートのセキュリティ担当
組織共通のセキュリティ開発チーム・リポジトリ管理者
AIが作った修正案を開発基盤・プラットフォーム担当
標準ワークフロー、クラウド基盤の管理者
Defender for Cloudの監査・リスク管理
GitHubの13/当社について
GitHub戦略パートナー・Microsoft Specializationの認定と、AI駆動開発の実績
GitHub戦略パートナー
GitHubとのAgentic DevOps with Microsoft Azure and GitHub Specialization
Microsoft AzureとAI Platform on Microsoft Azure Specialization
第三者審査で全要件に適合し、更新認定を取得しました。Microsoft AI Innovation Partner of the Year 2024
マイクロソフト14/はじめ方
スタートプラン：先行部署から全社展開・自走化までの5ステップ
全社の開発環境を
STEP 1現状診断開発環境、プロセス、権限、CI/CD、監査、脆弱性対応を整理し、優先するセキュリティゲートを決めます。
STEP 2先行部署への導入 対象の部署やリポジトリで、GHAS、標準ワークフロー、監視を動かし、現行工数と比べます。
STEP 3標準化先行部署の結果から、組織共通のセキュリティ設定、ワークフローのテンプレート、例外運用を定めます。
STEP 4横展開対象の部署とリポジトリを順に広げ、ハンズオンと運用ガイドで開発者と管理者を支援します。
STEP 5自走化と運用移管 SAIDDarで標準を維持し、社内で運用と改善を回せる状態にして移管します。
AI駆動開発から始める場合 HWS Agent Campの2日間の集中ハッカソンで、GitHubを使った開発の流れとセキュリティゲートを含めて試作できます。
15/関連ソリューション
16/よくあるご質問
Q. DevSecOpsとは何ですか。A. 開発と運用の流れの中にセキュリティを組み込み、設計から本番運用までの各工程で継続的にリスクを検知・修正する考え方です。考え方の全体像はMicrosoft Security Development Lifecycleも参考になります。
Q. GitHub Advanced Securityの導入だけを依頼できますか。 A. ご相談いただけます。当社はGitHub Advanced Securityの導入から現場への実装まで支援しています。DevSecOpsソリューションでは、その前後の現状診断、CI/CD、クラウドの監視、組織への定着までを含めて設計します。
Q. JenkinsなどからGitHub Actionsへの移行も対象ですか。 A. 対象です。既存のCI資産を棚卸しし、移行方式、標準ワークフローのテンプレート、セルフホストランナーの運用、権限と監査のルールを設計して、先行部署から段階的に移行します。
Q. Azure DevOpsを使っていても利用できますか。 A. 利用できます。GitHub Advanced Security for Azure DevOpsを含め、お客様の開発基盤に合わせて設計します。
Q. Microsoft Defender for CloudやSentinelとはどう組み合わせますか。 A. GitHubのOrganizationをDefender for Cloudに接続し、GHASのスキャン結果をクラウドの態勢と並べて管理します。Microsoft SentinelではGitHub Enterpriseの監査ログを監視します。接続の要件はMicrosoft Learnに示されています。
Q. AIが作った修正案を、そのまま適用してよいですか。 A. 修正案は開発者がレビューし、承認してから適用する流れを推奨します。どの指摘でマージを止め、誰が例外を承認するかを、ガバナンスの設計で先に決めます。
Q. ペネトレーションテストも依頼できますか。 A. ペネトレーションテストなどの専門的な検証は、必要に応じて専門パートナーと連携します。当社は結果を設計と改善の実装に反映します。
Q. Agentic Securityとの違いは何ですか。 A. DevSecOpsはソフトウェアと開発ライフサイクルを守り、Agentic Securityは本番で稼働するAIエージェントと、その権限・データ接続・実行を守ります。作る段階と使う段階で役割を分けています。
Q. どこから相談すればよいですか。 A. 開発プロセスの現状整理、GitHubの統制、CI/CDの移行、AI駆動開発のどの入口からでも相談できます。現状診断から始め、先行する部署やリポジトリを決めます。
DevSecOpsソリューションのご相談
開発プロセスの