scrum-security-review

name	scrum-security-review
description	スクラム開発プロセスにセキュリティが適切に組み込まれているかを検証する。 完成の定義（DoD）、プロダクトバックログ、スプリント成果物のセキュリティ観点を確認する。 「スクラムのセキュリティ監査」「プロセス監査」「DoDのセキュリティ監査」「スプリントレビュー監査」等のキーワードで使用する。

スクラム開発プロセス セキュリティレビュー

目的

スクラム開発プロセスにセキュリティが適切に組み込まれているかを検証し、「シフトレフト」（早期にセキュリティを組み込む）が実現されているかを評価する。

確認対象ファイル

• scrum/definition_of_done.md — 完成の定義
• scrum/product_backlog.csv — プロダクトバックログ
• scrum/product_backlog_done.csv — 完了済みプロダクトバックログ
• scrum/sprintXXX/sprint_backlog.md — スプリントバックログ
• scrum/sprintXXX/sprint_planning.md — スプリントプランニング記録
• scrum/sprintXXX/sprint_review.md — スプリントレビュー記録
• scrum/sprintXXX/sprint_retrospective.md — レトロスペクティブ記録
• scrum/impediment_log.csv — 障害物ログ
• scrum/impediment_log_resolved.csv — 解決済み障害物ログ

作業指示

1. 完成の定義（DoD）のセキュリティ項目を確認する

   • scrum/definition_of_done.md を開き、セキュリティに関する判定基準が存在するか確認する
   • 以下の項目が含まれているか検証する：
     • ハードコードされたシークレットが存在しないこと
     • 依存パッケージの脆弱性スキャンが実施されていること
     • 入力検証・出力エンコーディングが実装されていること
     • 認証・認可のテストが完了していること
   • 不足している場合は、追加すべき項目を具体的にリストアップして報告する

2. プロダクトバックログのセキュリティ要件を確認する

   • scrum/product_backlog.csv を開き、セキュリティ関連のPBIが存在するか確認する
   • 各PBIの acceptance_criteria 列にセキュリティ観点の受入基準が含まれているか確認する
   • セキュリティPBIの priority が適切な優先度に設定されているか評価する
   • 不足しているセキュリティPBIがあれば、追加を提案する
   • 完了済みのプロダクトバックログ（scrum/product_backlog_done.csv）も同様に確認する

3. スプリント成果物のセキュリティ観点を検証する

   • 最新のスプリントフォルダ（scrum/sprintXXX/）を確認する
   • sprint_planning.md にセキュリティタスクが含まれているか確認する
   • sprint_review.md にセキュリティ検査の結果が記録されているか確認する
   • sprint_retrospective.md でセキュリティプロセスの改善が議論されているか確認する

4. 障害物ログのセキュリティ関連項目を確認する

   • scrum/impediment_log.csv を開き、セキュリティに起因する障害が記録されているか確認する
   • scrum/impediment_log_resolved.csv を開き、解決済みのセキュリティ関連障害が記録されているか確認する
   • 未解決のセキュリティ関連障害があれば、その影響度を評価する

5. スクラムイベントへのセキュリティ統合を評価する

   • 以下の観点でプロセスの成熟度を5段階で評価する：
     • バックログリファインメントでのセキュリティリスク分析の実施
     • スプリントプランニングでのセキュリティタスクの計画
     • デイリースクラムでのセキュリティブロッカーの共有
     • スプリントレビューでのセキュリティ検査結果の報告
     • レトロスペクティブでのセキュリティプロセス改善の議論