Microsoft セキュリティ開発ライフサイクル

Microsoftセキュリティ開発ライフサイクル（SDL）は、Microsoft が DevOps プロセスにセキュリティを統合するために採用しているアプローチです（DevSecOps アプローチと呼ばれることもあります）。この SDL のガイダンスとドキュメントを活用することで、このアプローチとプラクティスを組織に合わせて調整できます。  

概要

SDLアプローチで概説されているプラ​​クティスは、従来のウォーターフォール型開発手法から最新のDevOpsアプローチまで、あらゆるタイプのソフトウェア開発とあらゆるプラットフォームに適用可能です。一般的に、以下の分野に適用できます。

• ソフトウェア– ファームウェア、AIアプリケーション、オペレーティングシステム、ドライバー、IoTデバイス、モバイルデバイスアプリ、ウェブサービス、プラグインまたはアプレット、ハードウェアマイクロコード、ローコード/ノーコードアプリ、その他のソフトウェア形式のソフトウェアコードを開発する場合。SDLのプラクティスのほとんどは、セキュアなコンピューターハードウェア開発にも適用できます。 
• プラットフォーム– ソフトウェアが「サーバーレス」プラットフォーム アプローチ、オンプレミス サーバー、モバイル デバイス、クラウドでホストされる VM、ユーザー エンドポイント、Software as a Service (SaaS) アプリケーションの一部、クラウド エッジ デバイス、IoT デバイス、またはその他の場所で実行されているかどうか。 

実践

SDLは、開発ワークフローに組み込むべき10のセキュリティプラクティスを推奨しています。SDLの10のセキュリティプラクティスの適用は継続的な改善プロセスであるため、重要な推奨事項は、ある時点から開始し、進捗に合わせて改善を続けることです。この継続的なプロセスには、セキュリティスキルとプラクティスをDevOpsワークフローに組み込む際に、文化、戦略、プロセス、技術的制御の変更が含まれます。

10 の SDL プラクティスは次のとおりです。

1. セキュリティ標準、指標、ガバナンスを確立する
2. 実証済みのセキュリティ機能、言語、フレームワークの使用を要求する
3. セキュリティ設計レビューと脅威モデリングを実行する
4. 暗号化標準の定義と使用
5. ソフトウェアサプライチェーンのセキュリティ確保
6. エンジニアリング環境のセキュリティを確保する
7. セキュリティテストを実行する
8. 運用プラットフォームのセキュリティを確保する
9. セキュリティ監視と対応を実装する
10. セキュリティトレーニングを提供する

バージョン

バージョン	発売日	リンク
1	2004年1月	未発表
2	2004年7月	未発表
2.1	2005年1月	未発表
2.2	2005年7月	未発表
3	2006年1月	未発表
3.2	2008年4月15日	http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=24308
4.1	2009年6月1日	http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=15526
4.1a	2010年4月15日	http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=17701
5	2010年5月11日	http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=12285
5.2	2012年5月23日	https://www.microsoft.com/en-us/download/details.aspx?id=29884
6	2024年5月21日	https://www.microsoft.com/securityengineering/sdl

参照

• 信頼できるコンピューティングベース

さらに読む

1. 文化、戦略、プロセスの確立 - イノベーションセキュリティ（CAF Secure）
2. セキュリティプラクティスとコントロールの定義 - DevSecOpsコントロール
3. Well Architected セキュリティ評価で現在のワークロードを評価する - Well Architected Review

外部リンク

• 公式サイト