こんにちは。DevOpsの世界へようこそ。
現場で多くのチームを見ていると、セキュリティ対策が「単なるチェックボックス」になってしまっているケースをよく見かけます。「とりあえずスキャンは回しているけれど、どこに何があるか把握できていない」というのは、実は非常に危険な状態です。
GitLabの「Security Dashboard」は、単なる脆弱性のリストではありません。開発チームと経営層の「共通言語」を作るための武器です。今日は、バラバラに散らばったプロジェクトの脆弱性を一元管理し、組織全体のセキュリティ健康度を可視化する「プロの現場のセットアップ」を伝授します。
—
1. なぜ「Security Dashboard」が必要なのか？
初心者が陥りやすい罠は、各プロジェクトのジョブログを一つずつ確認することです。これはスケールしません。
GitLabのダッシュボードを使えば、以下のことが可能になります。
- 集中管理: 全プロジェクトの脆弱性をひとつの画面で俯瞰。
- 優先順位の可視化: 重大度（Critical, Highなど）によるソートとフィルタリング。
- 意思決定の迅速化: 誰が、いつ、どの脆弱性をどう処理したかの追跡。
これをマスターすれば、あなたのチームのセキュリティ対応は「受動的な作業」から「戦略的なアクション」に変わります。
—
2. 準備：魔法の鍵 `.gitlab-ci.yml`
まずは、各プロジェクトでセキュリティスキャンが適切に走り、結果がJSON形式で出力されている必要があります。以下のテンプレートを各プロジェクトのルートディレクトリにある `.gitlab-ci.yml` に追加してください。
テンプレート：標準的なSAST（静的解析）の定義
include:
- template: Security/SAST.gitlab-ci.yml
出力されるアーティファクト（成果物）が重要です
sast:
artifacts:
reports:
sast: gl-sast-report.json # これがダッシュボードの入力ソースになります
ポイント: `gl-sast-report.json` という特定の名前で出力することが重要です。GitLabはこのファイルを自動的に読み取り、ダッシュボードに統合します。
—
3. グループ単位の俯瞰：ダッシュボードの「見方」
個々のプロジェクトではなく、「グループ」単位でダッシュボードを開いてみてください。
1. GitLabで目的のグループへ移動。
2. 左メニューの [Security & Compliance] > [Vulnerability Report] をクリック。
ここに、そのグループ傘下の全プロジェクトの脆弱性が集約されます。
ここでやるべき「プロの仕事」は、「ステータスの管理」です。
- Detected（検出）: まだ確認していないもの。
- Confirmed（確認済み）: チームで対応を検討中。
- Dismissed（却下）: 「これは誤検知だ」あるいは「今回は修正しない」と判断したもの（必ず理由を記録すること）。
—
4. 優先順位付けの極意：スコアリングの考え方
すべてを今すぐ直すことは不可能です。私たちは「リスクベース」で動きます。
- Critical/Highを最優先: これらは「即座に攻撃可能な脆弱性」である可能性が高いです。
- 修正案の活用: GitLabのダッシュボードには、自動で「修正パッチ」を提案してくれる機能（Auto-remediation）があります。可能であれば、これをCIパイプラインに組み込みましょう。
—
5. エグゼクティブ向けレポートの自動化
経営層は「何個の脆弱性があるか」という数字よりも、「リスクが下がっているか（トレンド）」を知りたがります。
実は、GitLabの [Security Dashboard] > [Security Center] を見ると、時系列でのグラフが自動生成されています。
- 運用ハック: このグラフを週次の定例ミーティングで画面共有するだけで、「セキュリティを可視化しているチーム」という強力なブランディングになります。
- APIの活用: より詳細なレポートが必要な場合は、GitLab API経由で脆弱性データを取得し、Google SheetsやBIツールへ自動連携するスクリプトを組むのが、プロの現場の自動化です。
簡単なAPI取得例（脆弱性リストの取得）
curl –header “PRIVATE-TOKEN: <あなたのトークン>” \
“https://gitlab.example.com/api/v4/groups/<グループID>/vulnerabilities”
—
最後に：先輩からのアドバイス
セキュリティ対策で最も大切なのは「完璧主義を捨てること」です。
最初は「Critical（重大）」な脆弱性をゼロにすることだけに集中してください。それだけでも、あなたのプロジェクトの堅牢性は劇的に向上します。
最初は難しく感じるかもしれませんが、このダッシュボードを毎日眺める習慣をつけるだけで、あなたはチーム内で「セキュリティ状況を一番把握しているエンジニア」になれます。
さあ、まずは一つのプロジェクトからスキャンを有効にしてみましょう。そこからすべてが始まりますよ。応援しています！