プロダクトセキュリティエンジニアリング

プロダクトセキュリティエンジニアリング (ProdSecEng) は、脆弱性管理および PSIRT の各チームと並んで、セキュリティケイパビリティエンジニアリング (SecCapEng) の一部です。

ミッションステートメント (Why)

ProdSecEng は、組織とともにスケールし、製品セキュリティを向上させるプロアクティブで予防的な制御を作り出します。製品ファーストのコード貢献と自動化を通じて、エンジニアリングのベロシティを維持しながらセキュアなソフトウェア開発を可能にする「舗装された道路」を構築します。

価値提案 (What)

私たちは、現場のエンジニアリングの専門知識、スケーラブルな自動化ソリューション、製品への貢献を提供することで、プロダクトセキュリティ (ProdSec) 部門が手作業ではなく価値の高いセキュリティイニシアチブに集中できるようにし、GitLab の製品チームが現実の顧客課題を解決するセキュリティ機能を迅速に提供できるようにします。

FY27 重点領域

• 脆弱性管理の製品機能と自動化
• ツールの積極的な保守、廃止、製品への統合

スコープと責任

私たちが所有するもの

ProdSecEng は、以下の領域にわたるセキュリティエンジニアリング作業の管理と提供を所有します:

1. セキュリティ強化機能: GitLab の製品リスクを軽減し、顧客のセキュリティ機能を強化するセキュリティ機能と改善。
2. セキュリティのための「舗装された道路」: 開発チームがセキュリティのベストプラクティスに従いやすくする製品ファーストのソリューション。
3. ProdSec 自動化: プロダクトセキュリティチームの手作業の負担を軽減する自動化。
4. セキュリティ要件の実装: セキュリティ部門の要件とユースケースを製品機能に翻訳すること。
5. ProdSec ツール統合: GitLab に統合するためのカスタム ProdSec ツールを特定し、実装、ロールアウト、引き渡しを管理。
6. 概念実証と検証: より広範な実装または引き渡しの前に、提案されたセキュリティソリューションを検証。
7. カスタムツールの保守: セキュリティ部門に代わってプロジェクトとツールを保守。完全なインベントリ（パスフォワードのカテゴリと保守の詳細を含む）は内部ハンドブック (GitLab チームメンバーのみアクセス可能) で利用可能です。
8. ドキュメントとナレッジ移転: 私たちの貢献に関するドキュメント、Runbook、ガイドの作成と保守。

仕事の入手元

ProdSecEng は、いくつかの主要な領域から作業を調達し、私たちのバックログにインプットを提供するチームとインターフェースします:

1. ProdSec 自動化リクエスト: ProdSec チームが自動化候補を特定し、私たちはインテーク自動化リクエスト基準に対して評価します。
2. 既存の GitLab セキュリティ強化 Issue: GitLab プロジェクト全体のセキュリティ関連 Issue で、評価のために ~ProdSecEng Candidate のラベル付けがされたもの。
3. クロスファンクショナルなセキュリティリクエスト: 脆弱性管理、セキュリティコンプライアンス、セキュリティリスク、Trust & Safety、または SIRT からのリクエスト（@gitlab-com/gl-security/product-security/product-security-engineering を介して言及されるもの）。
4. プロダクトセキュリティリスクレジスター (PSRR): セキュリティプラットフォーム & アーキテクチャ (SPA) およびその他の ProdSec チームによって特定された、製品エンジニアリングソリューションが必要なシステミックリスク。
5. セキュリティインターロックと製品検証: Customer Zero イニシアチブを通じた GitLab セキュリティ機能の検証。

スコープ外

運用モデル

ProdSecEng は、計画立案、優先順位付け、サイジング、作業追跡について、共有の SecCapEng の働き方 に従います。

バックログ管理、リファインメント、開発、引き渡しプロセスを含む、私たちのチーム固有のワークフローの詳細については、詳細ワークフローを参照してください。

コミュニケーション

• Slack: Slack の #security_help または #security-capabilities-engineering で質問し、@product-security-engineering ハンドルをメンションしてください
• GitLab: @gitlab-com/gl-security/product-security/product-security-engineering をメンションしてください
• Issue: ProdSecEng チームリポジトリ に提出してください
• 緊急時: 任意の Slack チャンネルで /security を使用してセキュリティインシデント対応チームをページングしてください

Professional Services Engineer と混同しないように、私たちは「ProdSecEng」を短縮名として使用しています。

成功指標

ProdSecEng は、ラベル付けされたマージリクエストと Issue を通じて指標を追跡します。次の指標ラベルが追跡とレポートを推進します:

指標ラベルとカテゴリ

これらのラベルに基づくメトリクスデータについては、私たちの Tableau ダッシュボード を参照してください。

戦略的 KPI

私たちが収集する指標に基づき、私たちのミッションでどのように進んでいるかを伝えるために追跡する戦略的 Key Performance Indicator (KPI) は以下のとおりです。

運用指標

チームの効率性を追跡するため、以下の運用 KPI を追跡します。

チーム構成

ProdSecEng チームは以下で構成されます:

• セキュリティエンジニアリングマネージャー: チームの優先順位付け、ロードマップ計画、マイルストーン計画をリード、クロスファンクショナルな関係を管理
• プロダクトセキュリティエンジニア: セキュリティ機能、自動化ソリューション、ツール統合の設計、開発、検証

開発目標

私たちのチームはソフトウェアおよびセキュリティエンジニアの混合体です。チーム内部の成長と開発の計画は次のとおりです:

• スケーラブルなセキュリティアーキテクチャと設計パターンの専門知識を拡大
• GitLab のコードベースと開発実践に関する実践的な経験を開発
• AI セキュリティ統合と実装の能力を構築
• セキュリティ要件をユーザー中心のソリューションに翻訳するためのプロダクトマネジメントスキルを強化
• クロスチームコラボレーションとコミュニケーションスキルを強化

レビューと更新

このチャーターは四半期ごとにレビューされます。次回予定されているレビュー: 2026 年 8 月 1 日。

ページのソースコードを見る - ページの編集 - please contribute.