CompTIA Project+（PK0-005） 無料問題 1 / 10 ・ 分野1: プロジェクト管理の概念
配送アプリのチームはビルドと配置を自動化しているが、脆弱性は月末の審査で初めて見つかり、複数のリリースが差し戻される。DevSecOpsへの移行として、問題の発見時期を最も直接変える施策はどれか。
- 設計と変更時の検査を組み込み、検出結果を修正作業へ戻す
- 本番監視へ脆弱性検知を集約し、運用開始後の修正を迅速化する
- 月末の審査員を増員し、リリース前の一括評価を短期化する
- 受入工程の脆弱性試験を増やし、完成したビルドを詳しく評価する
正解と解説を見る
正解: A
正解の理由
「設計と変更時の検査を組み込み、検出結果を修正作業へ戻す」SSDFは安全な開発実践を各SDLCへ統合する考え方を示す。設計や変更の段階で検査と修正を循環させれば、月末まで未検出だった問題を早期に扱える。
違う選択肢
「月末の審査員を増員し、リリース前の一括評価を短期化する」…審査時間は短くできても、月末まで欠陥を発見しない工程配置が残る。工程内へセキュリティを組み込む改善とは異なる。
「本番監視へ脆弱性検知を集約し、運用開始後の修正を迅速化する」…本番での検知は運用中の対応に有効だが、リリース前に問題を早く見つけるための開発工程への統合とは異なる。
「受入工程の脆弱性試験を増やし、完成したビルドを詳しく評価する」…受入時の試験強化だけでは検知が後工程へ集中する。設計や変更の時点から安全な開発の実践を組み込むことが求められる。
押さえどころ
配置の自動化があるだけでDevSecOpsになるわけではない。セキュリティ活動が開発の流れのどこに置かれるかを見る。