開発の流れに、セキュリティの確かめをどう組み込みますか

こう聞かれます

• 「開発の流れに、セキュリティの確かめをどう組み込みますか」
• 「公開の直前に診断を受けたら、大きな穴が見つかりました。次からどうしますか」
• 「自動の検査の警告が多すぎて、みんなが見なくなっています。どうしますか」

面接官が見ている点

• 公開の直前にまとめて見るのではなく、早い段で見つける形を考えているか
• 道具を入れて終わりにせず、チームが続けられる決まりにしているか
• 危なさの大きさで扱いを分け、開発を止めすぎない折り合いをつけているか

短い答え

• 設計、実装とレビュー、自動の検査、公開の前、の各段に軽い確かめを置き、問題を早い段で見つけます。後の段で見つかるほど、直す手間が大きくなるからです。
• 設計では信頼の境目と守る物を確かめ、レビューでは確かめる項目の一覧を使い、自動の検査では毎回のマージの前に機械で見ます。
• 危なさの大きい物だけマージを止め、ほかは知らせて期限を決めて直す、と分けて、警告が見られなくなるのを防ぎます。

少し詳しい答え

よくある間違い

• 公開の直前の診断だけに頼る見つかった穴が設計に根を持っていると、作り直しになります
• 自動の検査の警告を全部マージを止める条件にする誤った警告でも止まり、チームが検査を外したがります
• 詳しい 1 人に全部を見てもらうその人が詰まり所になり、休むと確かめが止まります

深掘りの問い

• 「設計の段で、何を確かめますか」外から入る値が通る道と信頼の境目、守る物と、それに触れる権限を確かめる、と答えます
• 「開発の速さが落ちると言われたら」止める物を危なさの大きい物だけに絞り、手戻りが減った分を数字で示す、と答えます
• 「見つかった穴は、どの順に直しますか」外から届くか、守る物に触れるかで重さを決め、重い物から期限を決めて直す、と答えます

関連するコースと用語

• 信頼境界（Trust Boundary）とは
  コース「Webセキュリティ入門」
• 自動の検査のさわり
  コース「Git入門」
• コードレビューの受け方・出し方
  コース「Git入門」
• なぜSQLインジェクションは起きるのか
  コース「SQLインジェクション入門」

用語集で確かめる言葉は、CI/CD、最小権限、コードレビュー、XSS です。