CIでやるべきセキュリティ対策 - 固定する・検査する・止める・絞る ＜詳解CircleCI #03＞

概要

CIでやるべきセキュリティ対策を「固定する・検査する・止める・絞る」の4つに分け、それぞれをOSSの道具とCircleCIで始める方法を紹介する30分。

依存パッケージの改ざんやAPIキーの漏えいは、コードを書いた人が気づかないうちに起きます。CIは変更のたびに必ず通る場所なので、こうした問題を機械的に見つけて止めるのに向いています。
本セッションでは、CIでやるべきセキュリティ対策を「入れるものを固定する」「検査する」「見つけたら止める」「漏れたときの被害を絞る」の4つに分けて解説します。Trivy・Semgrep・TruffleHog・npm auditといったOSSの道具を、CircleCIのジョブにどう組み込むかを、実際に動かした設定とあわせて紹介します。特別な機能がなくても始められる内容です。

このセッションで学べること

• なぜCIでセキュリティを見るのか
• 入れるものを固定する（lockfile、イメージのdigest指定）
• 検査する（Trivy・Semgrep・TruffleHog、npm auditの定期実行）
• 見つけたら止める（ジョブの失敗で後続を止める）
• 漏れたときの被害を絞る（ジョブ単位のcontext、OIDC）

こんな方におすすめ

• CI/CDを使い始めた個人・小規模チームの開発者の方
• CIでビルドやテストは回しているが、セキュリティの検査はまだ入れていない方
• サプライチェーン攻撃やAPIキー漏えいのニュースを見て、自分のプロジェクトで何から始めればよいか迷っている方

「詳解CircleCI」とは

CircleCI に関するテーマをひとつに絞り、仕組みから設定手順まで30分で深掘りする定期シリーズです。
アーカイブ動画
第1回「開発サイクルを数える - CI 成功率 / MER / MTTR」：https://youtu.be/uvMUobwLYgQ
第2回「CIの無駄をSmarter Testingで解決 - 必要なテストだけを実行する方法」：https://youtu.be/iAkVAiGCfQk

登壇者

岡本秀高
CircleCI シニアフィールドエンジニア
 
AWSやCloudflare上へのサーバーレスなアプリ開発を得意とする開発者。元Stripe Developer Advocate / AWS Samurai 2017など、サービスの使い方や活用Tipsを紹介するコンテンツ作成や登壇などを得意とする。CircleCIでは導入支援と技術検証を担当。CircleCI Japan の技術記事と個人ブログで発信している。

• X: https://x.com/hidetaka_dev
• Qiita: https://qiita.com/CircleCIJapan

参照レポート

本ウェビナーで紹介するデータは、CircleCI の CI/CD プラットフォーム上で実行された2,800万件を超えるワークフローを分析した下記レポートに基づきます。

• 2026 State of Software Delivery: https://circleci.com/resources/2026-state-of-software-delivery/
• Q2 Pulse Report: https://circleci.com/resources/2026-state-of-software-delivery-q2-pulse/

CircleCIについて

CircleCIは世界最大規模のCI/CD（継続的インテグレーション／継続的デリバリー）プラットフォームです。
CircleCIを利用することで、ソフトウェア開発チームが質の高いプロジェクトを大規模に素早く展開することが可能です。それにより、ビジネスアイデアから実際のソフトウェア・サービスのリリースまでの時間を最短にすることができます。 形にしたいアイデアを CircleCI ですばやく実現しましょう！
CircleCIの活動や最新情報について、XやQiitaでタイムリーにゲットしよう！

• CircleCI 最新イベント情報 →グループ登録で最新イベント通知が届きます。
• X CircleCI Japan →フォローでイベントや最新情報がタイムリーに届きます。
• Qiita →CircleCIの最新の技術情報が確認できます。
• note →CircleCI User Meetupの内容やエンジニアのこぼれ話が読めます。

注意事項

• 内容は予定なく変更される場合があります。また、本セミナーは CircleCI をご利用でない方もご参加いただけます。
• 当日はQ&A機能よりご質問いただけます。頂いた質問へ、セミナー後半のライブQ&Aにてご回答いたします。
• お申し込みをもって、CircleCI のプライバシーポリシーにご同意いただいたものとさせていただきます。
• ご不明点等ございましたら、japan-marketing@circleci.com までご連絡くださいませ。