この生成AI時代において、ソフトウェアリスク管理に対する企業のアプローチには目覚ましい転換が見られます。ソフトウェアエンジニアリングチームはAIコーディングアシスタントの導入を急速に進めています。その一方で、法務およびリスク管理チームは自社開発コードにオープンソースライブラリの断片が埋め込まれるのを懸念しています。企業はどのように法的コンプライアンスとデベロッパーエクスペリエンス(開発者体験：DevEX)のバランスを取ることができるでしょうか？
オープンソースソフトウェア(OSS)のスニペット検出機能を備えたソフトウェア構成解析ソリューションがその答えとなります。しかし、検出方法やワークフローはソリューションによって大きく異なり、最適なソリューションを探し出して選択するのを困難にしています。
スニペット検出機能を備えたSCAツールを開発ワークフローに組み込み、スローダウンを避けながらシフトレフトする方法
近年「シフトレフト」がソフトウェア開発の中心的テーマになっていますが、適切に実践するには単なる早期アラートや通知以上のものが求められます。開発者に必要なのは、ふだん使っている環境に組み込まれ、毎日のワークフローの延長のように感じられるツールです。シフトレフト施策を推進し、それに合わせて業務を更新するにあたって、デベロッパーエクスペリエンス(開発者体験：DevEX)を向上させ、コンプライアンスおよびセキュリティデューデリジェンスをボトルネックではなくイネーブラー(実現を後押しするもの)に変えることができます。
この記事では、SCAツールおよび機能の統合のメリットを4つのキー領域にわたって説明します。その4つとは、日常的な開発フロー、CI/CDパイプライン、警告とゲート、SCMおよびチケットシステムです。
混乱させない、埋め込まれた検出
現代の開発チームの動きは急速です。
スニペット検出を含むオープンソースライセンスコンプライアンスおよびセキュリティチェックを開発環境に直接組み込むと、開発者は開発環境を出ることなく、コードに集中したまま、プロセスの早期にフィードバックを受け取ることができます。このアプローチは問題を即時に違和感なく提示するため、開発者が集中力を失ったり環境を切り替えたりせずに問題を修正するのに役立ちます。
さらには、コンプライアンスおよびセキュリティが邪魔なものではなく直感的に理解できるものになり、DevOpsのスピードと全体的なDevExが改善します。これらの要因が後段階での手戻りを減らし、リリースサイクルでの不測の事態を最小化するため、組織とアジャイル開発者の両方にとって好ましい状況が生まれます。
CI/CD統合およびゲート
CI/CDパイプラインは現在のソフトウェアデリバリーの基幹になっています。SCAツールをパイプラインに組み込むことで、コンプライアンスおよびセキュリティチェックがビルド、コミット、マージの一部として自動で確実に実行されます。ライセンスポリシーへの違反(企業のポリシーでGPLv3は許可されないなど) や深刻な脆弱性(CVSSスコアが 7.0から10.0、highおよびcriticalなど)があるビルドをブロックするといった、カスタマイズ可能なコンプライアンスおよびセキュリティポリシーに基づくゲートを導入すると、欠陥のすり抜けを最小化するのに加えて、日常的なワークフローをスローダウンさせることなく、問題のあるコードが運用環境に入り込むのを防ぐことができます。
そこで鍵となるのは、自動化と柔軟性のバランスを取ることです。比較的低リスクの指摘に関してはブロックせずに警告する一方、深刻度の高い問題に関しては厳格なゲートを適用します
SCMおよびチケットシステムとの統合
開発者は日常的にソースコード管理(SCM)システムおよびチケットシステムを使用しています。摩擦を最小限にするには、SCAツールはGitHub、GitLab、Bitbucketなどのプラットフォームと直接統合し、プルリクエスト、ブランチ、マージを自動的に解析するべきです。問題が見つかったら、自動的にチケットを発行し、特定のコミットと関連付け、担当開発者またはチームに割り当てます。
このような緊密な統合は、コード、コンプライアンス、コラボレーションの分断を防ぎ、問題をすばやく修正したり、対応を明確に文書化したりするのに役立ちます。
コンプライアンスとスピードは対立しない
AIはコードの作成方法を変え、スピードと新たな可能性をもたらす一方で、コンプライアンスおよびセキュリティに関して今までになかったリスクを生じさせてもいます…
AI生成コードシリーズ Tips集のご案内
続きは こちらから 資料のダウンロードをお願いします。
このシリーズ記事では、AI生成コードの活用とその課題からトピックスを読み解いて、開発チームの邪魔をすることなく法務およびコンプライアンスチームを満足させるソリューションを選択するためのガイドを提供します。
