継続的なコンプライアンスの構築 Aikido とコンプライアンスAI

コンプライアンスの証拠は、システムの現状を反映している場合にのみ有効である。

合気道 Aikidoでは、コンプライアンスを優れたセキュリティの副産物として捉え、チームが別途準備すべき独立した活動とは考えてきませんでした。だからこそ Aikido は複数のコンプライアンスプラットフォームと連携します。目的は単純明快です：チームが Aikido で生成されたセキュリティデータを、コンプライアンスプログラムを運用するあらゆる場所で、作業方法や並行プロセスの維持を変更することなく利用できるようにすることです。

Comp AIはそのアプローチの自然な延長線上にある。

セキュリティデータ Aikido では定期的に生成されます。リポジトリはスキャンされ、脆弱性は深刻度別に追跡され、修正は通常のエンジニアリング作業の一環として行われます。この統合により、監査時だけでなく繰り返しチェックを評価するために構築されたコンプライアンスプラットフォーム内で、同じデータが利用可能になります。

なぜComp AIなのか

Comp AIは、チームがSOC 2、ISO 27001、HIPAA、GDPRなどのフレームワークにまたがるコンプライアンスプログラムを定義・運用する場です。統制、タスク、チェックは、一度レビューしてアーカイブするのではなく、繰り返し評価できることを前提に構築されています。

Comp AIが優れた適合性を発揮する理由は、証拠の扱い方にあります。証拠はチームが手動でアップロード・管理するものではありません。接続されたシステムに対して実行されるチェックの結果であり、その発見内容を記録したものです。つまり、証拠は組み立てられるのではなく、検証されるのです。

From Aikidoの観点から見ると、このモデルは製品の動作と密接に一致しています。 Aikido は既に、コード、クラウドインフラストラクチャ、依存関係 脆弱性 最新の状態を把握しています。どのリポジトリがスキャンされているか、どの課題が開いているか、その深刻度、そして修正が行われたかどうかを把握しています。このデータを直接Comp AIに供給することで、コンプライアンスチェックはセキュリティチームが既に信頼している同じシグナルに基づいて行われ、新たなワークフローを導入することなく実現されます。

コンプAIが受け取るもの Aikido

統合が有効化されると、Comp AI脆弱性 直接取得します Aikido から直接取得し、コンプライアンスタスクの評価を行います。

これには以下が含まれます：

• 安全なコードの証拠
• 深刻度別に分類された未解決のセキュリティ問題
• リポジトリスキャン活動
• 7日以上スキャンされていないリポジトリなど、古いスキャンの特定

監視とアラートのため、Comp AIは以下も評価します：

• 設定可能な課題数しきい値
• 深刻度内訳の要約

これらのシグナルは、脆弱性 およびセキュアなコード実践に関連するコンプライアンス要件を満たすために使用され、特定の時点の成果物ではなく、入手可能な最新データに基づいています。

仕組み

接続後 Aikido をComp AIに接続すると、チームはコンプライアンスチェックの厳格さを設定できます。

チェックが失敗する最小の深刻度を定義し、許容される未解決課題の数に制限を設定し、対象とするリポジトリを選択し、スヌーズされた課題がコンプライアンスにカウントされるかどうかを決定できます。これにより、チェックは固定されたデフォルトに依存するのではなく、内部のリスクポリシーを反映できるようになります。

チェックが実行されると、Comp AIは最新のデータに対して評価を行います。 Aikidoの最新のデータに基づいて評価します。設定された閾値を超える脆弱性が存在する場合、チェックはその状態を反映します。それらの脆弱性が修正され、次のスキャンが完了すると、結果がそれに応じて更新されます。

証拠を更新するための個別の手順はなく、状況が変化しても再アップロードの必要はありません。

これがチームにとって何を意味するか

エンジニアリングチームにとって、日々の業務は変わらない。脆弱性の対応は依然として Aikidoで処理される。

コンプライアンスチームにとっての利点は一貫性です。Comp AIの証拠は、特定の時点でのスナップショットではなく、スキャンおよび是正活動の現在の状態を反映しています。

監査担当者にとっては、これによりより明確な文脈が提供されます。彼らは、孤立した成果物をレビューする代わりに、脆弱性がどのように特定され、追跡され、時間をかけて解決されるかを把握できます。

コンプライアンスが、セキュリティの既存の運用体制からチームを引き離すべきではないと考えています。Comp AIとの統合により、コンプライアンスは情報源に近い位置に留まります。つまり、予測可能な間隔で更新される実際の脆弱性 に基づき、チームが既にプログラムを管理している場所で評価が行われるのです。

ヘンリックからのメモ

ヘンリック・ヨハンソン、Comp AIのコンプライアンス担当常駐投資家は、次のようにうまく要約した：

監査人は驚きを好まない。創業者の皆さんも同様であるべきだ。 Aikido が脆弱性を発見し、Comp AIが修正を記録する。監査は調査ではなく、レビューとなる。」

私たちは概ね同意する。 Aikido × Comp AIの統合は、すべての有料 Aikido プランに含まれており、本日よりご利用いただけます。

はじめましょう →aikido

‍