フェーズ 5: コードスキャンの展開とスケールアップ

GitHub設定でセキュリティ機能を有効化する

Code Scanning の有効化

code scanning を試験運用し、ベスト プラクティスに関する社内ドキュメントを作成した後、会社全体で code scanning を有効にすることができます。 セキュリティの概要から、組織内のすべてのリポジトリの code scanning のデフォルト設定を構成できます。　　　　　 詳しくは、「大規模なコード スキャンの既定のセットアップを構成する」をご覧ください。

デフォルトのセキュリティ設定をまず有効にする。

分野の専門知識を構築する

会社全体で code scanning を適切に管理し、使うには、社内の主題に関する専門知識を構築する必要があります。 code scanning の既定のセットアップでは、対象分野の専門家 (SME) が理解する最も重要な領域の 1 つは、code scanning アラートの解釈と修正です。 code scanning アラートの詳細については、以下を参照してください。

•         [AUTOTITLE](/code-security/code-scanning/managing-code-scanning-alerts/about-code-scanning-alerts)
  

•         [AUTOTITLE](/code-security/code-scanning/managing-code-scanning-alerts/assessing-code-scanning-alerts-for-your-repository)
  

•         [AUTOTITLE](/code-security/code-scanning/managing-code-scanning-alerts/resolving-code-scanning-alerts)
  

code scanning の高度なセットアップを使用する必要がある場合は、SME も必要です。 これらの SME には、code scanning アラートに加え、GitHub Actions や特定のフレームワーク向けの code scanning ワークフローのカスタマイズなどのトピックに関する知識が必要です。 高度なセットアップのカスタム構成の場合は、複雑なトピックに関する会議を開催して、複数の SME の知識を一度に広げることを検討してください。

このバージョンについてはこちらをご覧ください: security-overview-org-codeql-pr-alerts

CodeQL 解析からの code scanning アラートの場合、セキュリティの概要を使用して、CodeQL が組織全体のリポジトリの pull request でどのように実行されているかを確認したり、アクションを実行する必要があるリポジトリを特定したりできます。 詳しくは、「CodeQL プルリクエスト警告メトリクス」をご覧ください。