GitHub Copilotを使用して会社のセキュリティ負債を削減する

機能を理解し、開発者を有効にし、 Copilotの影響を測定します。

この機能を使用できるユーザーについて

GitHub Copilot Business or GitHub Copilot Enterprise

この記事で

このガイドは、エンジニアリング システムの改善を推進するための戦略とメトリックを推奨する、 GitHubの エンジニアリング システム サクセス プレイブック (ESSP) に着想を得た内容です。

Copilotのロールアウトを開始する場合は、目標を定義し、それに応じてロールアウトを計画し、目標をスタッフに明確に伝達することをお勧めします。 「GitHub Copilot を使って会社のエンジニアリング目標を達成する」をご覧ください。

1. 成功への障壁を特定する

ESSP が推奨する最初の手順は、会社の改善を妨げている障害を明確に理解することです。 現在のベースライン、目的とする将来の状態、進歩を妨げる障壁を理解することで、的を絞った効果的な変更を行うことができます。

開発チームは、多くの場合、新しい機能を提供し、アプリケーションをスムーズに実行し続けるために、速度と機能に重点を置きます。 時間が経つにつれて、次のような小さな問題が蓄積される可能性があります。

  • 固定されていない既知のセキュリティ上の弱点
  • 潜在的な欠陥がある前のソフトウェア コンポーネントへの依存
  • 検出された問題への対処の遅延

これにより、 セキュリティ負債が発生し、問題の重大なバックログが発生します。

セキュリティ負債は実際のリスクを伴います。 対応されずに放置されるほど、その問題は大きくなり、コストが増大します。 大規模なセキュリティ負債により、システムは攻撃に対して脆弱になり、機密データが公開され、顧客の信頼が損なわれます。

課題は、迅速な開発と、セキュリティで保護された安定したソフトウェア環境の維持のバランスを取することです。

2. オプションを評価する

次の手順では、手順 1 で特定した障壁に対処するための解決策を評価し、同意します。 このガイドでは、特定した目標に対して GitHub Copilot がどのような影響を与え得るかに焦点を当てます。 新しいツールのロールアウトを成功させるには、カルチャとプロセスを変更する必要もあります。

パイロット グループを使用して新しいツールとプロセスの試用版を実行し、フィードバックを収集し、成功を測定します。 試用中に使用するトレーニング リソースとメトリックについては、3 を参照してください。セクションを監視するための変更とメトリックを実装します。

営業に問い合わせる

Copilotがどのように役立つか

Copilot は、セキュリティに関する考慮事項を開発ライフサイクルに直接統合します。 これにより、開発者はプロジェクトを最新の状態に保ちながら、潜在的な脆弱性を事前に特定して対処することができます。

Copilot は、ソフトウェア開発ライフサイクル全体にわたってセキュリティの脆弱性を軽減します。

開発中

Copilot はコードを書く時にレビューを行います。 一般的なセキュリティ上の欠陥を理解して、悪用に対して脆弱な可能性がある領域にフラグを設定します。 このリアルタイム分析では、標準的な開発または初期のセキュリティ レビュー中に見逃される可能性がある非表示の脆弱性が表示されます。

Copilotが問題を特定すると、脆弱性を修正するためのコード変更が提案されます。 これにより、早期に弱点に対処し、セキュリティ負債の蓄積を防ぐことができます。

継続的なメンテナンス

Copilot は、既存のコードベースをセキュリティで保護するために、 GitHubのコード スキャン機能と統合されています。 コード スキャンによってセキュリティ アラートが識別されると、 Copilot Autofix はそれを分析し、それを解決するための対象となる推奨事項を提供します。

これらの推奨される修正により、脆弱性の調査とそれらに対処する方法の決定に費やす時間が短縮されます。 これにより、セキュリティ アラートをより効率的に解決し、継続的なセキュリティ負債を防ぐことができます。

文化に関する考慮事項

GitHub Copilot のロールアウトに加えて、自分の目的の達成を妨げる可能性がある社会的な要因や文化的な要因に対処します。

次の例は、ESSP の "アンチパターン" セクションから抜粋したものです。

  • Teams は 、セキュリティ負債を無視または延期する可能性があります。 これにより、非効率的で脆弱なシステムを維持できます。 これは、期限に基づいて機能に焦点を当てたり、セキュリティ負債の長期的な影響に関する教育の欠如が原因である可能性があります。
  • Teams は、単純な問題に対して 過度に複雑なソリューションを構築 する可能性があります。 これにより、コードの保守が困難になり、セキュリティの問題の検出が困難になります。 これは、不必要に将来の証拠を望むか、複雑さを通じて価値を追加する圧力によって引き起こされる可能性があります。

3. 変更を実装する

障壁を克服するための適切なアプローチを特定したら、特定したソリューションをスケーリングします。 新しいツールまたはプロセスのロールアウトを成功させるには、ロールアウトの各部分に所有権を割り当て、目標について透過的に伝え、効果的なトレーニングを提供し、結果を測定します。

このセクションでは、開発者向けのシナリオ例、ベスト プラクティス、リソースについて説明します。 このセクションでは、従業員が Copilot を目標に沿った方法で使用できるように 、コミュニケーションとトレーニング セッションを計画 します。

セキュリティの脆弱性に関するコードを分析する

コードベースのサイズによっては、コードの記述中 Copilot プロジェクト全体を分析できない場合があります。 これはコンテキストの制約によるものです。 ただし、セキュリティで保護されていないコード プラクティスについて、特定のファイルを分析するように要求できます。

  1. Visual Studio Codeで分析するファイルを開きます。

  2. Copilot Chatで、次の質問をします。Analyze this code for potential security vulnerabilities and suggest fixes

#file チャット変数を使用して、プロンプトにファイルのコンテンツを具体的に含めます。 プロンプト ファイルとカスタム命令を使用して、 Copilotの応答をガイドすることもできます。

  1. Copilot Chat は、コードを分析し、セキュリティの脆弱性を識別し、修正プログラムを提案します。
  2. 提案された変更を検討し、必要に応じて適用します。

プロンプトのその他の例:

  • Are there any security vulnerabilities in my code? If so, can you explain them and suggest fixes?
  • Does this code follow secure code best practices? If not, what specific improvements can I make?
  • What are the potential security risks in this code if it were deployed to production? How can I mitigate them?

Copilot Autofixアラートにcode scanningを使用する

Copilot Autofixは、GitHub Code Securityアラートの潜在的な修正を提案するcode scanningの一部です。 GitHub Code Securityのライセンスを持つパブリック リポジトリとリポジトリで使用できます。

リポジトリでコード スキャンを実行すると、 code scanning アラートとして潜在的な問題が発生します。 次の手順に従ってアラートを解決します。

  1. GitHubでアラートを開きます。
  2. [ 修正の生成] をクリックします。 Copilotがアラートを解決できるときに表示されます。
  3. Copilot Autofix は潜在的な修正プログラムを生成し、アラートのコード変更を示します。 このコード変更は、新しいブランチまたは既存のブランチにコミットできます。
  4. コードをテストします。 次に、プル要求を開いて、変更をメイン ブランチに移動します。
  5. 変更をメイン ブランチに移動し、修正プログラムを検証 code scanning すると、アラートは自動的に閉じます。

開発者向けのベスト プラクティス

開発者がすべきこと:

  • Copilot Chatを定期的に使用して、コード スニペットの脆弱性を分析します。 変更をコミットする前に、コードでセキュリティの問題を確認することを習慣にします。
  • Copilot Autofixアラートにはcode scanningを使用します。 アラートが表示されたら、 Copilot Autofix を最初の手順として使用してすばやく対処します。
  • Copilot Chatに明確で具体的なプロンプトを提供します。 要求の詳細が多いほど、コードを分析し、関連する修正プログラムを提案できる Copilot が向上します。 たとえば、プログラミング言語と特定の懸念事項を含めます。
  • Copilotを既存のセキュリティ ツールと組み合わせます。 Copilotは、専用のセキュリティ スキャナーとプラクティスの代わりにではなく、セキュリティ分析の追加レイヤーとして使用します。

開発者がすべきでないこと:

  • Copilotのセキュリティに関する提案を自動的に受け入れます。 推奨されるコード変更を常に確認してテストし、適切で効果的であることを確認します。
  • 包括的なセキュリティ監査には、 Copilot のみに依存します。 Copilot は便利なツールですが、徹底的なセキュリティ レビューと侵入テストを置き換えるべきではありません。
  • code scanningアラートは無視します。 セキュリティ負債の蓄積を防ぐために、小さいように見える場合でも、すべてのアラートに迅速に対処します。
  • Copilotを言い訳として使用して、セキュリティで保護されたコーディングプラクティスを学習しないようにします。 セキュリティのベスト プラクティスに関する自分自身とチームを引き続き教育します。
  • Copilotはすべての脆弱性をキャッチすると仮定します。 セキュリティは継続的なプロセスであり、常に注意が必要です。
  • セキュリティ ポリシーをバイパスするには、 Copilot を使用します。 組織のセキュリティ プロトコルに準拠します。 Copilotを回避ではなく、それらを強化するためのツールとして使用します。

開発者用リソース

監視対象のメトリック

新しいツールの評価版を評価し、完全なロールアウトで一貫した改善が提供されていることを確認するには、結果を監視し、必要に応じ調整を行います。 品質、速度、開発者の幸福度の重要なゾーンと、これらのゾーンを組み合わせてビジネス成果に貢献する方法を検討することをお勧めします。

この特定の目標に対するCopilotの影響を評価するための指標を以下に示します。

  • セキュリティ債務比率。 セキュリティの概要を使用して、時間の経過と同時にアラートの数が減少するかどうかを確認します。
  • セキュリティの問題を修復する時間。 セキュリティの概要を使用して、セキュリティの問題を修復する時間が時間の経過と同時に低下するかどうかを確認します。

「コードのセキュリティ リスクを評価する」を参照してください。