フェーズ 5: Code Scanning のロールアウトとスケーリング

Code Scanning の有効化

code scanning を試験運用し、ベスト プラクティスに関する内部ドキュメントを作成した後、会社全体で code scanning を有効にすることができます。 セキュリティの概要から、組織内のすべてのリポジトリの code scanning のデフォルト設定を構成できます。　　　　　 詳しくは、「大規模なコード スキャンの既定のセットアップを構成する」をご覧ください。

一部の言語またはビルド システムでは、代わりに code scanning の高度なセットアップを構成して、コードベースを完全にカバーすることが必要になる場合があります。 ただし、高度なセットアップでは、構成、カスタマイズ、および保守に非常に多くの労力が必要となるため、最初に既定のセットアップを有効にすることをお勧めします。

分野の専門知識を構築する

会社全体で code scanning を適切に管理および使用するには、社内の主題に関する専門知識を構築する必要があります。 code scanning の既定のセットアップでは、対象分野の専門家 (SME) が理解する最も重要な領域の 1 つは、code scanning アラートの解釈と修正です。 code scanning アラートの詳細については、以下を参照してください。

• Code scanningアラートについて
• リポジトリのコード スキャンのアラートの評価
• コード スキャン アラートの解決

code scanning の高度なセットアップを使用する必要がある場合は、SME も必要です。 これらの SME には、code scanning アラートに加え、GitHub Actions や特定のフレームワーク向けの code scanning ワークフローのカスタマイズなどのトピックに関する知識が必要です。 高度なセットアップのカスタム構成の場合は、複雑なトピックに関する会議を開催して、複数の SME の知識を一度に広げることを検討してください。