編集部
2025年を迎えるにあたり、DevSecOps（セキュアDevOps）が注目を集めています。
この概念は、開発（Dev）、運用（Ops）、セキュリティ（Sec）を統合し、スピードと安全性の両立を目指すものです。
特に、MicrosoftやGoogle、IBMといった大手企業が最新の自動化技術を駆使していることから、国内外での導入が加速しています。
しかし、IPAの調査によると、日本企業の97.2%が未だにウォータフォール開発を続けており、
アジャイル開発への移行には多くのハードルがあります。
NRIセキュアが提供する導入支援の成功事例から、日本企業が取り組むべき戦略を解説します。
2025年に注目すべきDevSecOpsの最新動向
2025年を迎えるにあたり、DevSecOps（Development, Security, Operations）は企業の競争力を高めるための重要なアプローチとして注目されています。従来のDevOpsにセキュリティを組み込むことで、開発スピードを維持しながら、リスクを最小化する取り組みが広がりつつあります。特に、クラウドベースのDevSecOpsソリューションが市場で急速に拡大しており、Microsoftの「Azure DevOps」やGoogleの「Cloud Build」などがその代表例です。
これらのプロダクトは、コードのリリース前に自動でセキュリティチェックを行う機能を備え、CI/CD（継続的インテグレーション／継続的デリバリー）のプロセス全体にわたってセキュリティを確保します。また、SynopsysやPalo Alto Networksなども、セキュリティツールの自動化と統合を進めており、特にSAST（静的アプリケーションセキュリティテスト）やDAST（動的アプリケーションセキュリティテスト）の自動実行が可能です。これにより、開発者はセキュリティの専門知識を持たなくても、コードの脆弱性を早期に発見・修正できるようになっています。
さらに、2025年にはゼロトラスト（Zero Trust）セキュリティモデルの導入が加速する見込みです。これにより、ネットワークの内外を問わず、すべてのアクセスを厳密に管理する体制が求められます。特にリモートワークの増加により、企業のセキュリティ体制の強化が急務となっています。Googleの「BeyondCorp」やMicrosoftの「Azure AD Conditional Access」など、ゼロトラスト対応のソリューションとDevSecOpsの組み合わせが、これからの標準となるでしょう。
こうした動向を踏まえ、日本企業にとってもDevSecOpsは単なるセキュリティ強化策ではなく、ビジネスのスピードと信頼性を高めるための必須戦略となりつつあります。
日本企業におけるDevSecOpsの現状と普及の壁
日本国内では、DevSecOpsの導入が進む一方で、多くの企業が従来のウォータフォール開発から抜け出せない現状があります。IPA（情報処理推進機構）の2022年の調査によれば、国内企業の97.2%がウォータフォール型開発を採用しているとされています。この開発手法は、要件定義から設計、開発、テスト、リリースまでのプロセスを順次進めるため、計画通りの開発には向いていますが、迅速な市場対応や頻繁なリリースが求められる現代には適していません。
また、日本では開発業務を外部に委託するケースが多く、開発・運用・セキュリティの各チームが異なる企業に属することが一般的です。この体制では、DevSecOpsが求める一体感のあるチーム構築が難しく、迅速なフィードバックループを実現するアジャイル開発の導入も遅れがちです。NRIセキュアテクノロジーズが提供するDevSecOps導入支援サービスでは、こうした体制上の課題を解消するため、クライアント企業に深く入り込み、プロジェクト体制の改善を図っています。
さらに、文化的な側面も大きな課題です。DevSecOpsは「失敗を許容する文化」が重要とされ、迅速なリリースとそのフィードバックを基に改善を重ねる手法です。しかし、日本ではリスク回避を重視する傾向が強く、経営層が失敗を許容する姿勢を示すことが難しいことが多いのが実情です。このため、セキュリティとスピードを両立させるための変革が必要であり、企業文化の変革と経営層の理解が求められます。
DevSecOpsの導入を促進するためには、こうした体制と文化の両面での障壁を乗り越え、継続的な改善と学習を実践する姿勢が重要です。
NRIセキュアの導入支援事例に学ぶ成功の秘訣
NRIセキュアテクノロジーズは、DevSecOpsの導入支援において日本国内でのリーダー的存在として知られています。
その取り組みの一例として、NRIグループ全体でDevSecOps支援チームを組成し、クライアント企業の内部に深く入り込む手法を採用しています。
これにより、従来のウォータフォール型開発からアジャイル開発への移行を支援し、開発速度とセキュリティの両立を実現しています。
特に注目されるのが、CI/CDパイプラインにSAST（静的アプリケーションセキュリティテスト）を自動化で組み込むアプローチです。
これにより、コードの脆弱性をリリース前に発見し、迅速に修正することが可能になります。
さらに、NRIセキュアは、企業の開発チームと運用チームの間におけるコミュニケーションの向上を図り、
全体の体制強化を実現しています。これにより、セキュリティと開発のスピード感を両立し、顧客満足度の向上に貢献しています。
また、NRIセキュアは、同じグループ内のasleadやbit Labsと連携し、アジャイル開発の支援を強化しています。
これらのチームが提供するプロジェクト管理手法を活用し、DevSecOpsの実装過程をサポートすることで、
企業が直面する技術的・組織的な課題の解決を図っています。NRIセキュアのこうした包括的なアプローチは、
多くの企業にとってモデルケースとなりつつあります。
クラウドとオンプレミス、選ぶべきDevSecOps環境とは？
2025年を迎えるにあたり、企業にとって重要な課題は、クラウド型とオンプレミス型のDevSecOps環境の選択です。
クラウド型はスケーラビリティに優れ、Microsoftの「Azure DevOps」やGoogleの「Google Cloud Build」など、
多くの主要プロバイダーが提供する自動化ツールを簡単に利用できます。これにより、クラウド上での継続的インテグレーションやデプロイが可能となり、
開発からリリースまでのスピードが大幅に向上します。
一方で、オンプレミス型は、特に金融や政府機関など、データの取り扱いが厳格に管理される業界での需要が根強いです。
IBMやPalo Alto Networksのセキュリティ製品は、オンプレミス環境でのDevSecOpsを強力にサポートし、
高いセキュリティレベルを維持しながら開発プロセスを進めることが可能です。オンプレミス環境では、
データが自社の管理下にあるため、セキュリティやコンプライアンス面での安心感が高まります。
また、クラウドとオンプレミスのハイブリッドモデルも選択肢として注目されています。
これにより、重要なデータはオンプレミスで管理しつつ、開発とテストをクラウドで迅速に行うことが可能です。
Microsoftの「Azure Arc」など、ハイブリッド環境をサポートするプロダクトも提供されており、柔軟な運用が可能です。
企業のニーズやセキュリティ要件に応じた選択が、今後のDevSecOps戦略において鍵を握るでしょう。
ゼロトラストとDevSecOpsの融合がもたらす未来
2025年に向けて、ゼロトラストセキュリティモデルとDevSecOpsの融合が企業のセキュリティ戦略において重要な役割を果たします。
ゼロトラストは「信頼しないこと」を基本とし、ネットワーク内外のすべてのアクセスを厳密に検証するモデルです。
Googleの「BeyondCorp」やMicrosoftの「Azure AD Conditional Access」など、主要企業が提供するソリューションは、
ユーザー認証とアクセス制御の強化を通じてセキュリティの向上を図ります。
このゼロトラストの考え方をDevSecOpsに組み込むことで、開発環境全体にわたるセキュリティの一貫性が確保されます。
開発者がコードをリリースする前に実施する自動化されたセキュリティチェックや、
インフラ管理ツールによるリアルタイムの脅威検出が、ゼロトラストのフレームワークと統合されることで、
脆弱性を迅速に発見し、対応することが可能になります。
特にリモートワークが増加したことで、従来のネットワーク境界を基にしたセキュリティモデルではリスクが増大しています。
ゼロトラストは、リモートアクセスやクラウド環境のセキュリティ強化に最適であり、
このモデルをDevSecOpsと組み合わせることで、常に進化する脅威に対して企業の防御力を高めることができます。
この新しいセキュリティのアプローチは、2025年以降、あらゆる業界での標準となることが予想されます。
2025年に向けた日本企業のためのDevSecOps導入戦略
日本企業がDevSecOpsを効果的に導入するためには、技術と文化の両面での変革が求められます。
NRIセキュアが提供する事例では、開発と運用の壁を取り払い、チーム全体での協力体制を築くことが重視されています。
具体的には、CI/CDパイプラインの自動化を進めるとともに、開発者とセキュリティ担当者が共通の目標を持ち、
セキュリティを初期段階から組み込む「シフトレフト」のアプローチが鍵となります。
また、経営層がDevSecOpsの重要性を理解し、全社的な取り組みとして推進することも重要です。
経営層のコミットメントにより、失敗を許容する文化を育み、迅速なフィードバックサイクルを構築することが可能になります。
これにより、開発プロセス全体においてリスクを管理しながら、素早いリリースを実現する体制が整えられます。
さらに、ツール選定も導入戦略において重要です。
Synopsysの「Coverity」やPalo Alto Networksの「Prisma Cloud」など、
セキュリティとDevOpsの統合を支援するツールを効果的に活用することで、セキュリティチェックの自動化を促進できます。
これにより、手動でのチェックを減らし、開発速度とセキュリティ品質の両立を図ることが可能です。