[論文レビュー] Challenges and solutions when adopting DevSecOps: A systematic review

Roshan Namal Rajapakse, Mansooreh Zahedi+2 more|arXiv (Cornell University)|Mar 15, 2021

Software Engineering Techniques and Practices参考文献 42被引用数 15

ひとこと要約

本系統的文献レビューは、DevSecOpsの導入における21の主要な課題と31の解決策を特定し、人、実践、ツール、インfraストラクチャーのテーマに分類している。本研究は、特に継続的セキュリティ評価と手動の実践統合における自動化のギャップを浮き彫りにし、開発者中心のツールと社会的技術的研究の必要性を強調することで、DevOpsパイプラインにおけるスピードとセキュリティのバランスを図る必要があると指摘している。

ABSTRACT

Context: DevOps has become one of the fastest-growing software development paradigms in the industry. However, this trend has presented the challenge of ensuring secure software delivery while maintaining the agility of DevOps. The efforts to integrate security in DevOps have resulted in the DevSecOps paradigm, which is gaining significant interest from both industry and academia. However, the adoption of DevSecOps in practice is proving to be a challenge. Objective: This study aims to systemize the knowledge about the challenges faced by practitioners when adopting DevSecOps and the proposed solutions reported in the literature. We also aim to identify the areas that need further research in the future. Method: We conducted a Systematic Literature Review of 54 peer-reviewed studies. The thematic analysis method was applied to analyze the extracted data. Results: We identified 21 challenges related to adopting DevSecOps, 31 specific solutions, and the mapping between these findings. We also determined key gap areas in this domain by holistically evaluating the available solutions against the challenges. The results of the study were classified into four themes: People, Practices, Tools, and Infrastructure. Our findings demonstrate that tool-related challenges and solutions were the most frequently reported, driven by the need for automation in this paradigm. Shift-left security and continuous security assessment were two key practices recommended for DevSecOps. Conclusions: We highlight the need for developer-centered application security testing tools that target the continuous practices in DevSecOps. More research is needed on how the traditionally manual security practices can be automated to suit rapid software deployment cycles. Finally, achieving a suitable balance between the speed of delivery and security is a significant issue practitioners face in the DevSecOps paradigm.

研究の動機と目的

• 査読済み文献に基づくDevSecOps導入における課題と解決策に関する知識を体系化すること。
• DevOpsパイプラインにセキュリティを統合しようとする実務家が直面する主な障壁を特定すること。
• 課題と提案された解決策をマッピングし、現在の研究と実務におけるギャップを明らかにすること。
• 特に社会的技術的要因と手動セキュリティ実践の自動化といった未研究分野を強調すること。
• 安全でアジールなソフトウェア開発を実現するためのツール、実践、インfraストラクチャー分野におけるテーマ的ギャップを特定することで、今後の研究を導くこと。

提案手法

• 選定されたデータベースおよび出版者から得た54編の査読済み研究を対象に、系統的文献レビュー（SLR）を実施した。
• 反復的検索文字列の最適化とバックワード・フォワード・スノーボール手法を用い、研究の漏れを最小限に抑えた。
• 選択および抽出バイアスを低減するため、事前に定義されたプロトコルに従い、二重のデータ抽出と相互チェックを実施した。
• テーマ分析を実施し、課題と解決策を「人」「実践」「ツール」「インfraストラクチャー」の4つのテーマに分類した。
• 課題と解決策をテーマ別にマッピングし、解決策のカバー範囲を評価することで、研究ギャップを特定した。
• 出版バイアスを評価するため、否定的結果（例：導入の障壁）の含む有無を記録し、研究結果への影響を低減した。

実験結果

リサーチクエスチョン

• RQ1 DevSecOpsを導入するにあたり、実務家が直面する主な課題は何か？
• RQ2 文献で提案された解決策（ガイドライン、フレームワーク、ツール、または実践）は何か？
• RQ3 提案された解決策は、特定された課題とどのようにマッピングされるか？また、カバー範囲におけるギャップはどこにあるか？
• RQ4 「人」「実践」「ツール」「インfraストラクチャー」のうち、どのテーマが現在のDevSecOps研究と実務で最も多く取り上げられているか？
• RQ5 今後のDevSecOps導入における主な未満たされたニーズは何か？

主な発見

• ツール関連の課題と解決策が最も頻繁に報告されており、DevSecOpsパイプラインにおける自動化の必要性が背景にある。
• シフトレフトセキュリティと継続的セキュリティ評価は、常に早期かつ持続可能な形でセキュリティを統合するための推奨される実践である。
• 従来の手動セキュリティ実践（例：コードレビュー、ペネトレーションテスト）の自動化における顕著なギャップがあり、これが急速なDevOpsサイクルへの統合を妨げている。
• 人関連の課題（例：文化的抵抗、セキュリティ意識の欠如）は重要ではあるが、研究が不足しており、すべてのテーマに影響を及ぼしている。
• 多くの課題と解決策がテーマ間で相互に関連しており、効果的なDevSecOpsの実装には包括的かつテーマ横断的な評価が不可欠であることが示された。
• 特にコンテナ化やクラウドネイティブ環境を想定した、現代のDevOpsのスピードとセキュリティ要件を満たす新しいツール（例：ハイブリッド型またはIAST）の需要が高まっている。