Snyk Analyticsのご紹介：AppSecを幅広く可視化

開発者チームが急速に拡大し、最新のアプリケーションはますます複雑になっています。GenAIの普及に伴い、開発者の生産性とセキュリティリスクの両方が高まっています。アプリケーションセキュリティを常に先手に立たせるには、どうすればよいでしょうか。Snyk Analyticsは、セキュリティ脅威に先回りして対処するために必要な可視性とインサイトを求めるAppSecリーダーに向けた、これまでで最も強力なソリューションです。

今日のAppSecチームが直面する課題

アプリケーションセキュリティは、あらゆる規模の企業に不可欠です。リスクを早期に発見し、脆弱性に優先順位を付け、最優先の問題を迅速に修正できるようになります。しかし、今日のAppSecチームがこれらの目標を達成するには、いくつかの大きな課題があります。

成果の追跡

AppSecの取り組みの有効性を示すことは非常に重要ですが、現在、業界で確立された標準はありません。そのため、ほとんどのAppSecプログラムでは、発見・修正した脆弱性の数など、単純な分析指標で成果を測定しています。しかし、膨大な数の脆弱性をすべて修正することはできません。最も重大な問題を優先し、十分な速さで対処できているでしょうか。コードベース全体を監視していますか。すべての開発者がAppSecツールを使っていますか。また、開発プロセスのどの段階で使われているでしょうか。

拡張

会社と売上の成長に合わせて、AppSecの取り組みを拡張し、将来に備えることが重要です。脆弱性を次々と追いかけるより、開発者がセキュアなコードを書けるよう、先回りして導くほうが効果的です。何が有効で何が有効でないのか、問題がどこから発生しているのかを理解すれば、セキュリティ問題への対処に追われるのではなく、問題の発生を防げるようになります。

AIリスクへの対応

AI生成コードによって開発者の生産性が高まる一方、脆弱性のリスクも増大するなか、新たな複雑さに対応するため、ツールやプロセスを強化することがこれまで以上に重要です。AIアシスタントでコードを書く際の落とし穴から、開発者をどう守ればよいでしょうか。取り組みがさらに左へシフトするなか、開発者がAppSecソリューションを導入しているかを把握する必要があります。なぜなら、唯一役立つセキュリティツールとは、実際に使われているものだからです。

AppSecの取り組みを全体的に把握し、脆弱性に先手を打つ

ここで役立つのが、分析による可視性とインサイトです。解決中の問題だけでなく、開発者やアプリケーションのカバレッジに関する課題も把握できます。

お客様のニーズ、成果、フィードバックをもとに、Snykは基盤となる分析・レポート機能を統合・強化し、Snyk Analyticsとして提供します。Snyk Analyticsは、特にエンタープライズレベルでセキュリティの健全性向上に取り組むAppSecチームが直面する、幅広い管理上の課題に対応します。以下の機能を含みます。

• 実績ある分析・レポートツール

• Developer CLIとIDEの使用状況レポート、SLA管理レポート、Featured-Zero Daysレポートなどの新しいレポート

• SnowflakeのAI Data Cloudとのインテグレーション

Snyk Analyticsは、レポート機能、開発者分析、拡張性を網羅した、他に類を見ない包括的なスイートを提供します。

重要な問いに答える

Snyk Analyticsのダッシュボードは、AppSecプログラムの健全性を左右する特に重要な3つの側面に焦点を当てて設計されています。

Issue Analytics

重大度が「Critical」と「High」の問題に関する指標に注目できます。全体的なエクスポージャーと、リスクの解決・予防に向けた進捗を、上位レベルの指標や推移からすばやく把握し、必要に応じて詳細を確認できます。

Application Analytics

問題、コードカバレッジ、資産に関する傾向を把握できます。アプリケーションやビジネスのコンテキストと統合されたレポートにより、チームはプログラムの成果をより正確に評価し、戦略を見直すとともに、全体的なROIを経営層に明確に示せます。

Developer Analytics

IDEプラグインやローカルのCLIを通じた、開発プロセス全体におけるSnykのセキュリティテストの導入状況を測定できます。このインサイトを活用して、シフトレフトが進んでいる領域を把握し、セキュリティテストを導入していない他のチームの手本にできます。

他のプラットフォームへの拡張

AppSecリーダーは、個々のレポートニーズに応じたカスタマイズを必要とする場合があります。Snyk Analyticsでは、CSVの簡単なダウンロード、プラットフォームAPI、Snowflake Data Shareなど、複数の拡張オプションを使ってSnykのセキュリティデータを簡単にエクスポートできます。

Snykのデータセットは、他のセキュリティプラットフォームで利用できるようあらかじめ設定されているため、Snowflakeなどのデータ分析・BIツールからSnykのデータに簡単にアクセスできます。カスタムダッシュボードで全体像を把握し、より包括的で戦略的な意思決定が可能になります。

4つの重要な側面から全体像を把握

Snyk Analyticsにより、AppSecリーダーはセキュリティにおける4つの戦略的な柱をこれまでにないほど可視化し、プログラムの健全性を包括的に把握するための重要な指標を追跡できます。

• カバレッジ：コードのどれだけが監視されているでしょうか。Issue AnalyticsとApplication Analyticsでは、コードカバレッジや、各製品で監視しているプロジェクト数の推移などの指標を追跡できます。

• エクスポージャー：組織は攻撃や監査に対して、どれほど脆弱でしょうか。未解決のCriticalおよびHighの問題数、未対応のベースライン、ゼロデイ脆弱性へのエクスポージャー、最も多く発生している問題のある脆弱性などの指標を監視・レポートできます。

• 管理：開発者は問題を迅速に、または設定した目標期限内に、どれだけ効果的に修正できているでしょうか。この側面では、解決済みの問題数や平均修復時間（MTTR）をレポートします。

• 予防：増分リスクへのエクスポージャーをどれだけ効果的に抑えられているでしょうか。IDEとCLIに焦点を当てたレポートで、予防可能な問題や、開発者のシフトレフトの状況を追跡できます。

この4つの柱が連携し、効果的なAppSecプログラムを実現します。

Snyk Analyticsをどのように活用しますか？

Snykはお客様のニーズと成功を軸に製品を設計しているため、お客様がセキュリティ体制の強化に向けて製品をどのように活用しているかを常に知りたいと考えています。分析・レポート機能の活用方法や、AppSecの取り組みの改善にどう役立っているか、次に何を導入する予定か、ぜひお聞かせください。ご連絡をお待ちしています。

Snyk Analyticsは、2024年10月8日のSnyk Launchでリリースされました。