SEC11-BP04 コードレビューを実施する

コードをメインブランチにマージする前や本番環境にデプロイする前など、コードレビューを実行するタイミングを定義します。

チームメンバー、シニアデベロッパー、セキュリティエキスパートなど、コードレビュープロセスに関与するユーザーを決定します。

使用するプロセスやツールなど、コードレビューの方法を決定します。

GitHub Pull Requests や CodeGuru Security など、チームのニーズに合ったコードレビューツールを評価して選択します。

選択したツールを既存のコードリポジトリと CI/CD パイプラインと統合します。

レビュー担当者の最小数や承認ルールなどのコードレビュー要件を適用するようにツールを構成します。

レビュー対象の概要を示すコードレビューチェックリストまたはガイドラインを作成します。コードの品質、セキュリティの脆弱性、コーディング標準の遵守、パフォーマンスなどの要因を考慮してください。

チェックリストまたはガイドラインを開発チームと共有し、期待されている内容を全員が理解していることを確認します。

効果的なコードレビューを行う方法について、チームにトレーニングを提供します。

アプリケーションセキュリティの原則と、レビュー中に確認する一般的な脆弱性についてチームに教育します。

知識の共有とペアプログラミングセッションを奨励して、経験の浅いチームメンバーのスキルアップを図ります。

プルリクエストの作成やレビュー担当者の割り当てなど、コードレビュー手順を開発ワークフローに統合します。

マージまたはデプロイの前に、コードの変更がコードレビューを受けることを必須にします。

レビュープロセス中のオープンなコミュニケーションと建設的なフィードバックを奨励します。

コードレビュープロセスの有効性を定期的に確認し、チームからフィードバックを収集します。

自動化またはツールの改善の機会を見極め、コードレビュープロセスを合理化します。

学習内容と業界のベストプラクティスに基づいて、コードレビューチェックリストまたはガイドラインを継続的に更新および改良します。

コード品質とセキュリティを維持するために、コードレビューの重要性を強調します。

コードレビュープロセスからの学習の成果と、プロセスの成功を称えます。

デベロッパーが安心してフィードバックを提供し、受け取ることができるような協力的で協力的な環境を奨励します。