Security Platforms & Architecture

最終更新: 2026年2月6日

ミッションステートメント

Security Platforms and Architecture (SPA) サブ部門は、製品ライフサイクル全体を通してセキュリティリスクを特定、優先順位付け、軽減することにより、GitLab のプラットフォームと製品を保護します。Security Architecture、Application Security、Security Research で構成され、戦略的なセキュリティアーキテクチャと運用上のアプリケーションセキュリティを組み合わせて、GitLab が市場で最もセキュアなソフトウェアファクトリープラットフォームとなることを可能にします。私たちは GitLab のエンジニアと製品チームと協力し、設計と開発の段階で脆弱性を予測し防止するとともに、GitLab の顧客が信頼できる高品質なソフトウェアの提供を保証します。私たちは体系的な製品セキュリティリスクと運用上のアプリケーションセキュリティに焦点を当て、エンジニアリングの開発速度を維持しながら、それらを軽減するためにクロスファンクショナルに作業します。

SPA チームのガイディングプリンシプル

SPA のすべてのメンバーは、私たちの ガイディングプリンシプル に従って活動することが期待されます。これらの原則は、私たちがどのように意思決定し、業務をオーナーシップを持って進め、コミュニケーションを取り、互いを支え、改善していくかをカバーしています。

バリュープロポジション

私たちは、GitLab と顧客が高い速度で品質の高い、セキュアなソフトウェアを作成できるよう、ソフトウェア開発ライフサイクル全体を通してセキュリティの専門知識と運用サポートを提供します。私たちのチームは、セキュリティの専門知識を公開および内部のソートリーダーシップ貢献に翻訳し、GitLab をセキュアなソフトウェア開発のリーダーであり信頼されるイネーブラーとして確立します。

スコープと責任

主要な所有領域

インターフェイスポイント

• Product Security Risk Register:
  • すべての Product Security チームは、PSRR のリスクの作成、更新、対応に貢献します。
  • 私たちは、より広範な リスクレジスター を所有および運用する Security Risk Team と協力します。
• マルチレイヤーセキュリティレビュー:
  • イニシアチブがアプリケーション層とインフラストラクチャ層の両方の入力を必要とする場合、私たちは InfraSec と提携します
• Security Interlock:
  • すべての Product Security チームは、GitLab 機能の実世界テストに貢献し、製品のユーザビリティ、機能性、有効性を改善するためのフィードバックを提供します。
  • SPA は、構造化されたフィードバックを集約してセキュリティ製品マネージャーとエンジニアリングチームに提供し、実際のセキュリティチームのワークフローと要件に対応する機能拡張を推進します。
• セキュリティチームエスカレーション: 以下を含む領域でのサポート要求に対応します -
  • 脆弱性影響分析と POC 開発 [リクエスター: Vuln Management]
  • GitLab で使用されている高リスクシステムの 技術的セキュリティバリデーション [リクエスター: Security Risk]
• 製品/エンジニアリングコラボレーション:
  • SPA は、外部のエンタープライズグレード顧客のニーズに対するカナリアであることを認識し、GitLab のセキュリティおよびコンプライアンスロードマップに影響を与えます。
  • コンプライアンスフレームワークの実装と運用: SPA は Security Compliance チームおよびエンジニアリングチームと提携し、顧客が要求するセキュリティフレームワークの認証を取得・維持するためのロードマップに取り組みます。
  • Field Security: SPA は Field Security をサポートおよび活用して、セキュリティガイダンスを伝え、顧客の信頼を構築します。

範囲外

• インフラストラクチャ/クラウド/データセキュリティに関連するセキュリティアーキテクチャ [チーム: InfraSec]
• 定例のベンダーサードパーティリスクアセスメント [チーム: Security Risk]
• 脆弱性管理オペレーション [チーム: Vulnerability Management および Security Compliance]
• インシデント対応管理 [チーム: SecOps および /handbook/security/product-security/psirt/]

コミュニケーションチャンネル

SPA チームとの定例コミュニケーションは、以下を通じて行われます。

• Slack: #security_help または #security_discuss を使用し、@security-platforms-architecture または @appsec-team をタグ付けする
• Issue/MR ディスカッションのための GitLab タグ: @gitlab-com/gl-security/security-research、@gitlab-com/gl-security/product-security/security-architecture、または @gitlab-com/gl-security/product-security/appsec

緊急時には、GitLab チームメンバーは任意のチャンネルでコマンド /security を使用して Security Incident Response Team をページングする必要があります。

FY27 主要フォーカス領域

• Security Architecture、Application Security、Security Research を 1 つのチームに統合する
• 新機能のセキュリティレビューについて運用面の卓越性を提供する
• セキュリティカバレッジとサポートを最大化し、リスクを軽減するためのスケーリング投資を実施する
• 主要なリスク領域: AI セキュリティ、ソフトウェアサプライチェーンセキュリティ、AuthN/Z

FY27 メトリクス

SPA は多くのレベルでメトリクスを維持しています。以下は SPA レベルの戦略的および運用的メトリクスで、FY27 で構築・報告する予定のものです。これらのメトリクスは、主要リスク指標、プロジェクトレベルのメトリクス、サブチーム固有のメトリクスに 加えて のものです。これらの多くについて、メトリクス計装と報告メカニズムは今後策定予定です。

注: これらのテーブルを完全に表示するには横スクロールが必要です。

戦略的メトリクス

以下は、E-Group を対象に、SPA チームのチャーター達成における成功を測定するために FY27 で追跡を開始する主要メトリクスです。これらは、最終的な成功は個々の活動にあるのではなく、チームを越えて協力し、顧客に直接的な利益をもたらす結果を推進することにあるという現実を反映しています。

運用メトリクス

レビューと更新

このチャーターは、会社および部門の優先順位、GitLab Security 製品ロードマップ、StORM および Product Security Risk Register の重大なリスクとの整合性を確保するため、四半期ごとに更新されます。

次回の予定レビュー: 2026年5月1日

ページのソースコードを見る - ページの編集 - please contribute.