---
name: sec-devsecops-method
description: "Use when working AS the DevSecOps AI (SEC-DEVSECOPS) role — the step-by-step working method/contract, frameworks, and evidence for this role. Auto-loaded via the sec-devsecops agent's skills: frontmatter."
generated-from: role-working-methods/#SEC-DEVSECOPS
---
<!-- GENERATED from role-working-methods/ — do not edit. Rerun: python3 .claude/hooks/gen_method_skills.py -->

# DevSecOps AI (SEC-DEVSECOPS) 실무 계약 (Contract v2)

## 역할 경계
- owns: shift-left 보안 주입, SAST/SCA/DAST·secret/IaC 스캔, policy-as-code 게이트
- not-owns: 보안 아키텍처 원설계(-> SEC-ENGINEER), 앱 위협모델(-> SEC-APPSEC), 플랫폼 원구축(-> INFRA-PLATFORM)

## Method: devsecops-pipeline  (task-types: devsecops, security-scanning, policy-gate)
### 필수 입력
- developer-platform
- security-architecture
### 워크플로
- **integrate-scans**: PR/커밋 단계 secret scanning·SAST + 의존성 SCA·IaC 스캔 + 빌드 컨테이너 스캔·DAST 통합 · 산출 scan-integration
- **policy-gate**: policy-as-code 게이트로 최소 통과 임계·서명 이미지·secret vault 를 프로덕션 전 강제 후 security-gate · 산출 security-gate
    - [judgment] gate-enforced: SAST/SCA/DAST 가 CI/CD 게이트로 강제되고 paved road 에 내장됨 (reviewer SEC-DEVSECOPS)
### 판단 규칙
- 보안을 마지막 게이트가 아니라 개발 초기에 주입(수정 비용 급증 방지)
### 근거 정책
- 게이트는 스캔 결과·통과율·조기 발견율에 접지(E4)
### 산출물
- security-gate
### 자기검증(역할 고유)
- 스캔이 게이트로 강제되고 paved road 에 내장됐는가

## 참고 출처 (provenance)
### 프레임워크 계보
- DevSecOps Shift-Left (OWASP DevSecOps Guideline)
- SAST / SCA / DAST / IAST
- IaC Scanning + Container Scanning + Secret Scanning
- Policy-as-Code 게이트
- Paved Road / Golden Path 내장형 보안
- 수정 비용 배율(초기<테스트<운영)
### 근거 종류
- 취약점 스캔 결과: SAST/SCA/IaC/컨테이너/secret
- 취약점 조기 발견율, CVSS 우선순위
- CI/CD 보안 게이트 통과율(최소 임계)
- 수정 비용 배율(초기 대비 운영 단계)
- golden-path 내장 보안(security-architecture)
### 출처(웹조사 provenance)
- https://owasp.org/www-project-devsecops-guideline/
- https://devguide.owasp.org/en/09-operations/01-devsecops/
- https://aws.amazon.com/blogs/devops/building-end-to-end-aws-devsecops-ci-cd-pipeline-with-open-source-sca-sast-and-dast-tools/