セキュアなシステム開発・品質管理
開発チームがCI/CDパイプラインに静的アプリケーションセキュリティテスト（SAST）ツールを導入したところ、大量の誤検知（false positive）が報告され、開発者が警告を無視するようになった。この状況の改善策として最も適切なものはどれか。
- ASASTツールの導入自体を中止し、レビューをすべて人手に戻す
- B誤検知を含めてすべての警告を必ず修正するルールを徹底する
- ✓検出ルールをプロジェクトの実装方針に合わせてチューニングし、重要度に応じたトリアージ運用を確立する
- DSASTの実行をリリース直前の1回だけに限定する
解説
誤検知が多いまま運用すると警告が形骸化する「アラート疲れ」が起きる。検出ルールのチューニングと重要度別のトリアージ運用によって実効性を保つのが適切な対応である。
根拠シラバス「期待する技術水準」システム開発、品質管理などに関する知識をもち、それらの業務についてセキュリティの観点から指導・助言できる