3.2Dependency Review・更新ルール・ポリシーと連携

検知（前節）に対し、本節は「混入させない/通さない」予防とゲート、そして組織での 運用設定 です。中心は Dependency Review による マージ前の検査、Dependabot の 更新ルール の調整、そして 権限・通知・連携 の構成です。

3.2.1Dependency Review — マージ前のゲート

Dependency Review は、PR で 依存が追加/更新される差分 を見て、脆弱な依存 や ライセンス上問題のある依存 がマージされようとしていないかを マージ前にチェック します（ゲートベースの予防）。必須チェックにすれば、危険な依存の追加で マージをブロック できます。ライセンス/コンプライアンス検証 により、許可されていないライセンスの依存を弾く構成も可能です。これにより「入ってから直す」ではなく「入る前に止める」運用ができます。

3.2.2依存更新ルール（グルーピング・自動却下）

Dependabot の PR が大量に出ると運用が圧迫されます。グルーピング は、関連する依存更新を 1 つの PR にまとめて ノイズとレビュー負荷を減らします。自動却下（auto-dismiss） は、開発依存のみに影響する低リスクなアラートなどを 条件に基づいて自動で取り下げ ます。更新戦略 では、対象範囲（セマンティックバージョンの範囲）、スケジュール、対象パッケージなどを dependabot.yml で設定します。これらで「修復の量」をコントロールします。

3.2.3権限・ワークフロー・連携

組織では、誰がアラートを閲覧/対応するかを 権限と役割ベースの割り当て で制御します。修復は ワークフロー（PR レビュー・必須チェック・CI）に組み込み、人手と自動を組み合わせます。さらに、外部通知・Webhook・セキュリティ連携 により、検出を SIEM やチケット管理、チャットへ流して既存の運用に統合できます。これにより、サプライチェーンの状態を 組織のセキュリティ運用 に取り込みます。

3.2.4この節のまとめ

• Dependency Review＝PR の依存差分をマージ前に検査（脆弱/ライセンスをブロック）＝ゲートベース予防
• グルーピングで更新 PR をまとめ、自動却下で低リスクを取り下げ、dependabot.yml で更新戦略
• 権限/役割ベース割り当て・ワークフロー・Webhook/連携で組織運用に統合
• Dependency Review（マージ前ゲート）と Dependabot アラート（既存依存検知）は役割が別＝併用