DevSecOpsとは何か？
DevSecOps は、DevOps を拡張して、セキュリティ対策を DevOps アプローチに統合できるようにしたものである。従来の中央集権的なセキュリティ・チーム・モデルとは異なり、各デリバリ・チームには、ソフトウェアのデリバリに適切なセキュリティ管理を組み込む権限が与えられる。セキュリティの実践とテストは開発ライフサイクルの早い段階で実施されるため、「左遷」という言葉が使われることもある。セキュリティは、静的、ソフトウエア構成、動的の 3 つの主要な領域でテストされる。

静的アプリケーション・セキュリティ・テスト（SAST）により、静的にコードをチェックすることは、セキュリティに特化したホワイトボックステストです。プログラミング言語によって、このような静的なコード解析を行うには、異なるツールが必要です。ソフトウェアの構成は分析され、特にライブラリとそのバージョンは、CERT や他の専門家グループによって公表された脆弱性リストと照合されます。ソフトウェアをクライアントに提供する場合、ライセンスと配布されるソフトウェアのライセンスとの一致が注目される。動的テストは、ブラックボックステストとも呼ばれる。ソフトウェアの内部機能を知らずにテストする。DevSecOpsでは、動的テスト（DAST）または侵入テストと呼ばれる。その目的は、特にクロスサイトスクリプティングやSQLインジェクションのようなエラーを早期に発見することである。脅威の種類は、例えば、オープンなウェブ・アプリケーション・セキュリティ・プロジェクトのTOP10などで公表されています。一方、特にマイクロサービスでは、対話型アプリケーションテスト（IAST）は、自動化された機能テストを実行するときに、どのコードが実行されるかをチェックするのに役立ちます。SASTやDASTとは逆に、IASTはアプリケーション内部で動作する。

また、DevSecOps は、セキュリティ教育、セキュアバイデザイン（Secure by Design）、セキュリティ自動化（Security Automation）を統合することによって、セキュアなソフトウェアを製造するための全体的なアプローチを含む文化的な転換であるとも言われている。
DevSecOpsは、セキュリティをDevOpsのアプローチに統合することで、DevOpsを拡張したものである。セキュアなソフトウェアを作成することが企業にとって最優先事項になりつつあるため、DevSecOpsは近年成長を続けている。