5.2検出のカスタマイズ・ガバナンス・シフトレフト

組織ごとにリスクは異なり、検出も運用も 自社に合わせて調整 します。GH-500 では、CodeQL の 検出のカスタマイズ、役割と例外の ガバナンス、スイート横断の ルールセットと強制、そして予防を前倒しする シフトレフト が問われます。

5.2.1CodeQL クエリスイートのカスタマイズ

CodeQL は クエリスイート で「どのルールを実行するか」を決めます。既定（default）は誤検知が少なめの基本セット、security-extended はより広く検出（その分ノイズも増える）、さらに 組織独自のカスタムクエリ/スイート を加えて自社特有の脆弱パターンを検出できます。言語別解析 の特性（コンパイル要否など）も踏まえ、リスクプロファイルに合わせて 検出範囲と誤検知のバランス を取ります。

5.2.2役割・委譲例外・横断ルールセット

ガバナンスでは、セキュリティの役割（管理者・security manager・開発者）ごとに権限を分け、アラートの所有権 を明確にします。例外は 委譲例外（delegated exceptions） として、承認制で一時的に認め、誰が承認できるかを統制します。さらに スイート横断のルールセット/ポリシー で、Code Security・Secret Protection・サプライチェーンを まとめて 必須化・強制でき、チーム横断で一貫したセキュリティ姿勢を保てます。コラボレーション（アラートやキャンペーンでの協働）も運用の要です。

5.2.3シフトレフトによる予防強化

シフトレフト は、セキュリティを開発の 早い段階に前倒し して、問題が大きくなる前に防ぐ考え方です。具体的には、Push Protection で秘密を源流で止め、依存スキャン（Dependabot/Dependency Review） で危険な依存を早期に検知/ブロックし、マージ前解析（Code Scanning を必須チェックに） で脆弱なコードのマージを防ぎます。後工程で見つけるほど修復コストは高くなるため、「早期予防」が運用全体の効率とリスク低減に効きます。

5.2.4この節のまとめ

• CodeQL はクエリスイート（default/security-extended/カスタム）で検出と誤検知のバランスを取る
• ガバナンス：役割・アラート所有権・委譲例外（承認制）・スイート横断ルールセットで強制
• シフトレフト：Push Protection／依存スキャン／マージ前解析で早期予防（後工程ほど修復コスト大）
• security-extended は広いがノイズ増、委譲例外は一時的、予防は検出/修復を置き換えない