変更要約: GH-500 第5章を新規作成（脆弱性コンテキストと優先順位付け＝CVE/CWE/GHSA・リポジトリアドバイザリ・ルールセットで重大度/SLA 強制・CVSS＋EPSS＋到達可能性＋資産重要度・キャンペーン/一括管理・自動却下と記録、カスタマイズとガバナンス・シフトレフト＝CodeQL クエリスイート[default/security-extended/カスタム]・役割/委譲例外/所有権・スイート横断ルールセット強制・Push Protection/依存スキャン/マージ前解析）
5.2検出のカスタマイズ・ガバナンス・シフトレフト
CodeQL クエリスイートのカスタマイズと言語別解析、組織のリスクプロファイルへの調整、セキュリティの役割・委譲例外・アラートの所有権、チーム横断のコラボレーション、スイート横断のルールセット/ポリシー/強制、そして Push Protection・依存スキャン・マージ前解析による予防強化（シフトレフト）を理解します。
組織ごとにリスクは異なり、検出も運用も 自社に合わせて調整 します。GH-500 では、CodeQL の 検出のカスタマイズ、役割と例外の ガバナンス、スイート横断の ルールセットと強制、そして予防を前倒しする シフトレフト が問われます。
5.2.1CodeQL クエリスイートのカスタマイズ
CodeQL は クエリスイート で「どのルールを実行するか」を決めます。既定（default）は誤検知が少なめの基本セット、security-extended はより広く検出（その分ノイズも増える）、さらに 組織独自のカスタムクエリ/スイート を加えて自社特有の脆弱パターンを検出できます。言語別解析 の特性（コンパイル要否など）も踏まえ、リスクプロファイルに合わせて 検出範囲と誤検知のバランス を取ります。
5.2.2役割・委譲例外・横断ルールセット
ガバナンスでは、セキュリティの役割（管理者・security manager・開発者）ごとに権限を分け、アラートの所有権 を明確にします。例外は 委譲例外（delegated exceptions） として、承認制で一時的に認め、誰が承認できるかを統制します。さらに スイート横断のルールセット/ポリシー で、Code Security・Secret Protection・サプライチェーンを まとめて 必須化・強制でき、チーム横断で一貫したセキュリティ姿勢を保てます。コラボレーション（アラートやキャンペーンでの協働）も運用の要です。