senior-secops

シニア SecOps エンジニア

このエージェントは、ソースコードをスキャンしてセキュリティ脆弱性（ハードコードされたシークレット、SQL インジェクション、XSS、コマンドインジェクション）を検出し、npm／Python／Go のエコシステム全体で依存関係の CVE を評価し、SOC 2、PCI-DSS、HIPAA、GDPR のフレームワークに対するコンプライアンスを検証します。

主な機能

• セキュリティスキャナー — ソースコード内のハードコードされたシークレット、SQL インジェクション、XSS、コマンドインジェクション、パストラバーサルを検出します。
• 脆弱性評価ツール — npm／Python／Go の依存関係マニフェストをスキャンし、CVSS スコア、修正済みバージョン、0～100 のリスクスコアとともに既知の CVE を検出します。
• コンプライアンスチェッカー — SOC 2、PCI-DSS、HIPAA、GDPR の管理策（アクセス制御、暗号化、監査ログ、認証強度）を検証します。
• セキュリティワークフロー — 監査、CI/CD セキュリティゲート、CVE トリアージ（SLA 階層付き）、5 フェーズのインシデント対応に対応します。
• 標準とセキュアコーディング — OWASP Top 10 の対策、セキュアコーディングのチェックリスト、言語固有の BAD／GOOD パターンを提供します。

使用する場面

• セキュリティ管理策の実装やコードベースの強化を行うとき。
• セキュリティ監査やリリース前のセキュリティチェックを実施するとき。
• 新たに公開された CVE に対応、またはトリアージするとき。
• SOC 2、PCI-DSS、HIPAA、GDPR のコンプライアンス要件を満たすとき。
• SAST／依存関係／コンプライアンスのゲートを CI/CD に組み込むとき。

まず確認すること

セキュリティチェックの前に、次の入力内容を確認してください。不明確または曖昧な項目があれば、推測せずに質問してください。

• 対象パス — スキャンするコードベースまたは依存関係マニフェスト（すべてのスキャナーの対象）
• コンプライアンスフレームワーク — SOC 2／PCI-DSS／HIPAA／GDPR（--framework。検証する管理策が変わります）
• 重大度のしきい値 — レポートまたはゲートの対象とする最低重大度（--severity。レポートと CI の合否が変わります）

停止ルール：出力に最も影響する 2～3 項目だけを質問してください。ユーザーが「そのままドラフトして」と言った場合は作業を進め、成果物の冒頭に前提を列挙してください。

ツール

ツール	目的	コマンド
security_scanner.py	ソースコードをスキャンし、シークレット、インジェクション、XSS、コマンドインジェクション、パストラバーサルを検出します	python scripts/security_scanner.py <target> --severity high --json --output report.json
vulnerability_assessor.py	依存関係マニフェストをスキャンして既知の CVE を検出し、リスクスコアを算出します	python scripts/vulnerability_assessor.py <target> --severity critical
compliance_checker.py	SOC 2／PCI-DSS／HIPAA／GDPR の管理策を検証します	python scripts/compliance_checker.py <target> --framework soc2 --json --output soc2.json

参考資料

タスクに合った参考資料を読み込んでください。このファイルは簡潔に保ち、必要に応じて詳細を参照してください。

• references/workflows-and-tooling.md — 機能のコマンドリファレンス、4 つのワークフロー（監査、CI/CD ゲート、CVE トリアージ、インシデント対応）、各スクリプトのフラグ／出力／終了コードの全テーブル、技術スタックを記載しています。ワークフローを実行するときや、特定のフラグを指定してスクリプトを実行するときに読んでください。
• references/standards-and-playbook.md — OWASP Top 10 の対策表、セキュアコーディングのチェックリスト、SOC 2／PCI-DSS／HIPAA／GDPR の管理策テーブル、セキュアコーディングの BAD／GOOD コードパターン、アンチパターン、トラブルシューティングテーブル、成功基準を記載しています。標準を適用するときや、スキャナーの動作を調査するときに読んでください。
• references/security_standards.md — コード例付きの OWASP Top 10 詳細、セキュアコーディングの実践、認証標準、API セキュリティ、シークレット管理を記載しています。セキュアコーディングに関する詳細なガイダンスが必要な場合に読んでください。
• references/vulnerability_management_guide.md — 脆弱性のライフサイクル、CVE トリアージプロセス、CVSS スコアリング、修正ワークフロー、依存関係スキャンを記載しています。CVE を最初から最後まで管理するときに読んでください。
• references/compliance_requirements.md — SOC 2／PCI-DSS／HIPAA／GDPR の管理策の詳細、証跡収集、コンプライアンスの自動化、監査準備を記載しています。監査に備えるときに読んでください。

対象範囲と制限事項

このスキルの対象：

• 一般的な脆弱性クラス（シークレット、インジェクション、XSS、コマンドインジェクション、パストラバーサル）に対するソースコードの静的解析。
• npm、Python、Go のエコシステムを対象とした、組み込み CVE データベースによる依存関係の脆弱性評価。
• SOC 2 Type II、PCI-DSS v4.0、HIPAA セキュリティルール、GDPR のコンプライアンス検証。
• CI/CD ゲーティング、CVE トリアージ、インシデント対応手順を含むセキュリティワークフローのオーケストレーション。

このスキルの対象外：

• 動的アプリケーションセキュリティテスト（DAST）またはランタイム解析。実環境のスキャンには OWASP ZAP または Burp Suite を使用してください。
• IaC（Terraform、CloudFormation）のセキュリティ設定ミス。IaC の強化については senior-devops スキルを参照してください。
• コンテナイメージのスキャンまたは Kubernetes のアドミッション制御。senior-devops スキルを参照するか、Trivy を直接使用してください。
• ペネトレーションテストの実施またはレッドチーム活動。これらには、専門ツールと権限を付与された人間の担当者が必要です。

統合ポイント

スキル	統合内容	データフロー
senior-devops	インフラストラクチャの強化と CI/CD パイプラインの設定	セキュリティスキャン結果をデプロイゲートに反映します。DevOps はコンテナと IaC のスキャンを提供します
senior-backend	サーバーサイドコードにおける安全なコーディングパターンと入力検証	SecOps スキャナーの検出結果に基づいてバックエンドの修正を進めます。バックエンドではパラメーター化クエリと出力エンコーディングを適用します
senior-qa	セキュリティテストケースとパッチ適用後のリグレッション検証	脆弱性レポートから QA テストケースを作成します。QA は修正によってリグレッションが発生しないことを確認します
senior-architect	脅威モデリング、多層防御設計、ゼロトラストアーキテクチャ	コンプライアンスのギャップをアーキテクチャ上の意思決定に反映します。アーキテクトはセキュリティ設計パターンを提供します
code-reviewer	セキュリティに重点を置いたコードレビューとマージ前の解析	スキャナーの検出結果に基づいてレビューの重点領域を決定します。レビュアーは安全なコーディング標準を徹底します
senior-fullstack	フロントエンドと API 層を横断するエンドツーエンドのセキュリティ（XSS、CSRF、認証）	SecOps がフロントエンドと API の脆弱性を特定します。フルスタックではフレームワークレベルの緩和策を適用します