Snyk AppRiskを発表：ASPMでAppSecを強化

Snykプラットフォームに新たに加わるSnyk AppRiskを発表できることを、大変うれしく思います。 

Snyk AppRiskは、アプリケーションセキュリティ態勢管理（ASPM）を実現する包括的なワークベンチをAppSecチームに提供します。セキュリティプログラムの統制と拡張を支援し、アプリケーションに起因するリスクを最小限に抑えます。開発チームとセキュリティチームの円滑な連携を促し、サイバーセキュリティの課題解決を支援する、業界初のASPMソリューションです。また、経営層はソフトウェアサプライチェーンのリスク態勢と、AppSecプログラム全体のパフォーマンスを把握できます。 

本日、初の製品としてSnyk AppRisk Essentialsを発表します。コードベースのアプリケーション資産を自動的に検出し、Snykのカバレッジを管理し、リスクに基づいて優先順位を付けるこのソリューションは、開発者中心のAppSecプログラムを拡張・強化し、その有効性を確保したいSnykユーザーにとって、大きな前進となります。 

ASPM：開発者セキュリティを拡張するための次なる一歩 

近年、アジャイル手法、DevOps、クラウドの導入、AIの活用拡大により、アプリケーション開発は大きく変化し、分散型の開発チームが力を発揮できるようになりました。アプリケーションは、コードで定義された多様な構成要素からなる複雑なものになっています。その結果、セキュリティ対応のバックログが膨らみ、公開される脆弱性も増加しています。

こうした課題に対応するため、Snykは開発者ファーストのセキュリティツールを先駆けて提供し、SDLC全体を通じて早期かつ一体化されたセキュリティを実現してきました。導入コンサルタントやパートナーと連携し、世界中の大規模組織に開発者ファーストのアプリケーションセキュリティを広げています。AppSecプログラムを成功させるため、可視性の向上、プログラムの統制、効果的な優先順位付けへのニーズが高まっています。

ASPMは、AppSecツールの最新の進化形として、包括的かつプロアクティブで、リスクに基づくアプローチを提唱しています。Snykは、大企業との取り組みや開発者に愛されるセキュリティプラットフォームで培った経験を生かし、ASPMを開発者セキュリティ強化の重要な一歩と捉えています。パラダイムシフトの鍵となるのは、アプリケーションに対する共通認識をもたらすASPMソリューションです。これにより開発者とセキュリティチームはガードレールを定め、影響の大きい問題の解決に集中し、プログラム全体の有効性を測定できます。

こうした視点を実現するには、開発者がセキュリティチームから提供されたツールを受け入れ、活用できること、そしてツールによってアプリケーションと関連するビジネスリスクを正確に把握できることが不可欠です。

そこで本日、 Snyk AppRisk Essentialsの提供開始を発表できることをうれしく思います。ASPM分野における私たちのビジョンとアプローチをご紹介します。

Snyk AppRisk Essentialsを支える3つの柱をご紹介 

Snyk AppRisk Essentialsは、Snykの開発者向けセキュリティプラットフォームの幅広さと深さを補完し、開発者ファーストの包括的なASPMワークベンチを提供します。Snykプラットフォーム全体のデータを関連付けることで、アプリケーションの構築に使用されるさまざまな資産、それらを保護するために使用しているツール、関連するリスクを含む、アプリケーションの包括的なモデルを構築します。これにより、Snykのお客様は次のことが可能になります。

• アプリケーション資産の検出を自動化：アプリケーション資産を継続的に検出し、ビジネスコンテキストに基づいて分類することで、セキュリティプログラムを開発者と常に連携させます。

• セキュリティカバレッジを管理：適切なセキュリティおよびコンプライアンス要件を定義・管理し、アプリケーションに正しいコントロールが適用されていることを確認します。

• リスクに基づいて優先順位を付ける：ビジネスとアプリケーションのコンテキストに、優れたセキュリティ分析と修正分析を組み合わせてリスクを定量化し、エビデンスグラフを作成。ビジネスにとって最も重要な問題に、開発者の修正作業を集中させます。

ソフトウェア資産を検出する

複雑なアプリケーション環境で既知のソフトウェアを保護するだけでも大きな課題ですが、より深刻なのは、把握できていないアプリケーションの存在です。効果的なリスク管理には、こうした見落としを特定することが欠かせません。

Snyk AppRisk Essentialsは、ソフトウェア資産全体をより詳細に可視化し、アプリケーションの構築に使用されているコードリポジトリやパッケージマニフェストファイルなどのさまざまなコードベース資産を検出・管理できるようにします。これらの資産は自動的に資産インベントリに登録されます。各資産をどのSnyk製品がテストしているか、さらに重要な点としてテストされていない資産はどれか、構築に関わる技術やチーム、ビジネス上の重要度などを確認できます。 

資産インベントリでは、アプリケーション資産をさまざまな切り口で確認でき、検索、並べ替え、絞り込みも可能です。これらの機能により、十分な可視性を確保して情報に基づく意思決定を行い、予期せぬリスクに対する防御を強化できます。

「プログラムにおける最大の課題の一つは、開発者の動きについていき、どのアプリケーションを誰がどこで所有しているのかを把握することです。Snyk AppRisk Essentialsでアプリケーション資産を検出できるようになり、このギャップを埋め、ソフトウェア資産全体をより深く理解できるようになりました。」

Greg McCord、Lightcast CISO

セキュリティカバレッジを管理・追跡する

資産インベントリを使えば、現在のSnykセキュリティカバレッジを効率的に評価し、Snyk製品で保護されている資産と、特に保護されていない資産を特定できます。これは、プログラムの統制を改善するための重要な第一歩です。次に必要なのは適切なセキュリティコントロールを確実に導入することですが、現代のアプリケーション環境は規模が大きく複雑であり、これは容易ではありません。

Snyk AppRisk Essentialsでは、アプリケーション資産の可視性を活用し、ポリシーを用いてSnykのコントロール（Snyk Open Source、Snyk Code、Snyk Container、Snyk Infrastructure as Code）によるカバレッジを管理できます。強力なポリシーエンジンと、非常に使いやすいポリシービルダーを活用すれば、ビジネス上の重要度に応じて資産を自動分類し、保護に必要なSnykのコントロールを指定できます。  

さらに、Snyk AppRisk Essentialsには、アプリケーション資産の全体像を把握できる一元管理ダッシュボードが用意されています。資産の種類やソース、Snykツールによるカバレッジ、最近のアクティビティなどを確認できるため、プログラム全体の状況を効率的に追跡・報告できます。

「規制の厳しい業界に身を置く私たちは、ソフトウェア環境に潜む潜在的なリスクの特定にSnyk AppRisk Essentialsを活用できることをうれしく思います。可視性を高め、厳格なコンプライアンス要件への対応を支援するツールを提供してくれます。」

Joe Pampel、Vestwell最高セキュリティアーキテクト

リスクに基づいて優先順位を付ける

AppSecチームが直面する数多くの問題について、ビジネスにもたらすリスクに基づいて効果的に優先順位を付けるには、アプリケーションの包括的なコンテキストが必要です。これにより、悪用される可能性と、実際に悪用された場合に想定される影響を正確に評価できます。 

Snyk AppRisk Essentialsは、こうしたコンテキストを提供します。Snykプラットフォーム全体のデータを集約・関連付けて、アプリケーションの構築に関わる資産に加え、本番環境でのデプロイ方法も含めた360°モデルを作成します。このモデルにより、問題がビジネスクリティカルな資産で検出されたか、問題を持ち込んだコードがデプロイ済みか、インターネットに公開されているかといった要素を考慮し、セキュリティ上の問題がもたらすリスクをより適切に評価できます。 

こうしたコンテキストはすべて、Snyk UIのInsightsページで確認できます。さまざまなフィルターを使って、リスクの高い問題をすばやく絞り込めます。 

たとえば、クラスAの資産で検出され、ご利用のオペレーティングシステムに該当し、デプロイ済みかつインターネットに公開されているものに関する問題を優先したい場合があります。 

こうした問題と、アプリケーションの構成がリスクを高める要因について、開発チームとともに理解を深められるよう、インタラクティブなエビデンスグラフで、アプリケーションを構成するさまざまな資産と、対象の問題との関連を示します。

数多くの脆弱性に圧倒されることなく、最も重大なリスクへの対処に集中できます。ビジネスリスクが最も高いものに取り組みを合わせることで、最も大きな効果が見込める領域にリソースを投入できます。

Snyk AppRiskでAppSecの未来を切り拓く 

Snyk AppRiskは単なる製品ではありません。Snykを活用したアプリケーション保護のあり方を根本から変革します。アプリケーションの検出、セキュリティカバレッジ管理、リスクベースの優先順位付けを組み合わせることで、可視性と統制を高め、より効果的な優先順位付けを実現します。これにより、リスクを低減しながら、現代の開発者中心のAppSecプログラムを統制・拡張する際の複雑さを解消できます。

Snyk AppRisk Essentialsのリリースを祝うとともに、幅広いASPM機能を備えた製品、Snyk AppRisk Proの近日リリースもお知らせします。Snyk AppRiskのProバージョンは、Snyk以外のツールも含めて、AppSecチームがSnykを通じてAppSecプログラム全体を管理できるよう設計されています。より幅広い資産の検出、サードパーティ製ツール（およびSnykツール）のカバレッジ管理、一元化された問題管理、自動化されたリスク管理と修正のワークフローを提供します。 

Snyk AppRisk Proの続報をお待ちください。

Snyk AppRisk Essentialsは現在ご利用いただけます。詳細はSnyk AppRisk製品ページをご覧いただくか、技術ドキュメントをご確認ください。または、ライブデモを予約してください。