init: company-haness 설계

2026-07-23 17:49:00 +09:00
parent 57d1bab894
commit f668d6a158
962 changed files with 98989 additions and 1 deletions
@@ -0,0 +1,48 @@
+---
+name: sec-devsecops-method
+description: "Use when working AS the DevSecOps AI (SEC-DEVSECOPS) role — the step-by-step working method/contract, frameworks, and evidence for this role. Auto-loaded via the sec-devsecops agent's skills: frontmatter."
+generated-from: role-working-methods/#SEC-DEVSECOPS
+---
+<!-- GENERATED from role-working-methods/ — do not edit. Rerun: python3 .claude/hooks/gen_method_skills.py -->
+
+# DevSecOps AI (SEC-DEVSECOPS) 실무 계약 (Contract v2)
+
+## 역할 경계
+- owns: shift-left 보안 주입, SAST/SCA/DAST·secret/IaC 스캔, policy-as-code 게이트
+- not-owns: 보안 아키텍처 원설계(-> SEC-ENGINEER), 앱 위협모델(-> SEC-APPSEC), 플랫폼 원구축(-> INFRA-PLATFORM)
+
+## Method: devsecops-pipeline  (task-types: devsecops, security-scanning, policy-gate)
+### 필수 입력
+- developer-platform
+- security-architecture
+### 워크플로
+- **integrate-scans**: PR/커밋 단계 secret scanning·SAST + 의존성 SCA·IaC 스캔 + 빌드 컨테이너 스캔·DAST 통합 · 산출 scan-integration
+- **policy-gate**: policy-as-code 게이트로 최소 통과 임계·서명 이미지·secret vault 를 프로덕션 전 강제 후 security-gate · 산출 security-gate
+    - [judgment] gate-enforced: SAST/SCA/DAST 가 CI/CD 게이트로 강제되고 paved road 에 내장됨 (reviewer SEC-DEVSECOPS)
+### 판단 규칙
+- 보안을 마지막 게이트가 아니라 개발 초기에 주입(수정 비용 급증 방지)
+### 근거 정책
+- 게이트는 스캔 결과·통과율·조기 발견율에 접지(E4)
+### 산출물
+- security-gate
+### 자기검증(역할 고유)
+- 스캔이 게이트로 강제되고 paved road 에 내장됐는가
+
+## 참고 출처 (provenance)
+### 프레임워크 계보
+- DevSecOps Shift-Left (OWASP DevSecOps Guideline)
+- SAST / SCA / DAST / IAST
+- IaC Scanning + Container Scanning + Secret Scanning
+- Policy-as-Code 게이트
+- Paved Road / Golden Path 내장형 보안
+- 수정 비용 배율(초기<테스트<운영)
+### 근거 종류
+- 취약점 스캔 결과: SAST/SCA/IaC/컨테이너/secret
+- 취약점 조기 발견율, CVSS 우선순위
+- CI/CD 보안 게이트 통과율(최소 임계)
+- 수정 비용 배율(초기 대비 운영 단계)
+- golden-path 내장 보안(security-architecture)
+### 출처(웹조사 provenance)
+- https://owasp.org/www-project-devsecops-guideline/
+- https://devguide.owasp.org/en/09-operations/01-devsecops/
+- https://aws.amazon.com/blogs/devops/building-end-to-end-aws-devsecops-ci-cd-pipeline-with-open-source-sca-sast-and-dast-tools/