Application Security オペレーション
最終更新: 2025年5月27日
Application Security サブ部門 は、Secure Development and Design チーム と Product Security Incident Response Team (PSIRT) の 2 つのチームで構成されています。これら 2 つのチームは、設計と開発中の脆弱性導入を予測・防止し、GitLab の製品およびサービスで発見されたセキュリティ脆弱性を識別・評価・対応するために協働します。
GitLab エンジニアのための便利なクイックリンク
- Application Security レビュー
- 脅威モデリング
- バックログレビュー: 必要に応じてバックログレビューを開始できます。詳細は脆弱性管理ページをご覧ください。
- GitLab AppSec インベントリ
- お客様のセキュリティスキャナーレビュー依頼への対応
- 重大な脆弱性に対する根本原因分析
GitLab の再現可能な脆弱性を使った実例で、セキュリティ問題の特定や是正方法を学んでください。
GitLab がビルドプロセスのために 再現可能なビルド をどのように実装しているかを学んでください。
Application Security チームが利用している自動化イニシアティブの詳細は Application Security 自動化およびモニタリングのページ を参照してください。
GitLab セキュアツールのカバレッジ
ドッグフーディング活動の一環として、セキュアツール は多数の GitLab プロジェクトで設定されています（ポリシーを参照）。このリストは動的すぎて本ページに含めることができないため、現在は GitLab AppSec インベントリ で管理しています。
期待される設定が欠けているプロジェクトは、インベントリ違反リスト（社内リンク）にあります。
AppSec エンジニア向けの有用なリソース
Application Security エンジニアのランブック
Application Security エンジニアの職務記述書ファミリー
PTO
5 日以上の PTO を取得するチームメンバーは、可視性を確保しチームの十分な運用カバレッジを保つために、スケジュールを組む前にマネージャーと休暇について話し合う必要があります。そして PTO カバレッジ Issue を作成して、不在時のカバレッジを整理する必要があります。PTO カバレッジ Issue には次の内容を含めてください:
- PTO 中にチームに来る可能性のある依頼をリスト化
- PTO を取るチームメンバーは、それに応じて作業を整理し、PTO カバレッジ Issue に作業処理に必要なコンテキストが含まれるようにする
- 一次および二次の責任チームメンバーを割り当てる
AppSec チームメンバーは、PTO 中の人の代理で対応する作業に関連する重要な情報を追加すべきであり、AppSec マネージャーは、復帰時に確認すべき重要なお知らせを追加すべきです。
チームブックマーク
- 他のプライベートサブグループとプロジェクトを含む AppSec のプライベートグループ
- Staging 上の
appsec-labグループ。Ultimate ライセンスがあります。 - Bug Bounty Council 検索
- Bug Bounty Council アーカイブ (2025年11月以前)
- 次回パッチリリース
- GitLab プロジェクトセキュリティダッシュボード
- 進行中の Issue を追跡するセキュリティ Issue ボード（HackerOne その他）
- 最新リリース
- プロジェクトメンバー権限の概要
- DevOps ステージとそれぞれのグループ。このページには開発チーム、注力領域、チームメンバーに関する情報が含まれています。
- 所有しているグループ別の製品機能のリスト
gitlab-orgでマージされたセキュリティ Issue 一覧。注: セキュリティミラーgitlab-org/security/の結果が含まれる場合があります。- Application Security KPI とその他のメトリクス - セクション、ステージ、グループでフィルタ可能な埋め込み KPI。
- マイルストーン計画 - GitLab Application Security チームはマイルストーンを中心に作業を計画します。このページでそのプロセスの説明を確認できます
上記のリストは網羅的ではなく、私たちのプロセスが進化し続けるにつれて変更される可能性があります。
ミーティング録画
以下の録画は社内のみで利用可能です:
コンテンツのレビューと更新
このページは、会社および部門の優先事項、GitLab セキュリティ製品ロードマップ、関連するビジネスおよび運用上の変更との整合性を確保するため、四半期ごとにレビューされます。ビジネスオペレーションが進化するにつれて、より頻繁に更新が行われる場合もあります。
次回予定レビュー: 2025年6月30日
bfd74782)