AikidoとComp AIを用いた継続的なコンプライアンスの構築

執筆者

公開日：

2026年2月5日

目次
テキストリンク

コンプライアンス証拠は、システムの現在の状態を反映している場合にのみ機能します。

Aikidoでは、コンプライアンスを常に優れたセキュリティの副産物として捉えており、チームが準備すべき個別の作業とは考えていません。そのため、Aikidoは複数のコンプライアンスプラットフォームと統合しています。目標はシンプルです。チームが作業方法を変更したり、並行プロセスを維持したりすることなく、コンプライアンスプログラムを実行する場所であればどこでも、Aikidoで生成されたセキュリティデータを使用できるようにすることです。

Comp AIは、そのアプローチの自然な拡張です。

Aikidoのセキュリティデータは定期的に生成されます。リポジトリはスキャンされ、脆弱性は深刻度別に追跡され、修復は通常のエンジニアリング作業の一部として行われます。この統合により、その同じデータが、監査時だけでなくチェックを繰り返し評価するように構築されたコンプライアンスプラットフォーム内で使用可能になります。

Comp AIを選ぶ理由

Comp AIは、チームがSOC 2、ISO 27001、HIPAA、GDPRなどのフレームワーク全体でコンプライアンスプログラムを定義し実行する場所です。コントロール、タスク、およびチェックは、一度レビューしてアーカイブするのではなく、繰り返し評価できるという期待を持って構造化されています。

Comp AIが強力に適合する理由は、証拠の扱い方にあります。証拠は、チームが手動でアップロードおよび管理するものではありません。それは、接続されたシステムに対して実行され、発見したものを記録するチェックの結果です。言い換えれば、証拠はチェックされるものであり、組み立てられるものではありません。

Aikidoの観点から見ると、そのモデルは製品の動作と密接に一致しています。Aikidoはすでに、コード、クラウドインフラストラクチャ、および依存関係全体における脆弱性とスキャン活動の最新のビューを維持しています。どのリポジトリがスキャンされているか、どの問題がオープンであるか、その深刻度、および修復が行われたかどうかを把握しています。そのデータを直接Comp AIに供給することは、新しいワークフローを導入することなく、セキュリティチームがすでに信頼している同じシグナルに基づいてコンプライアンスチェックが行われることを意味します。

Comp AIがAikidoから受け取るもの

統合が有効になると、Comp AIはAikidoから脆弱性およびスキャンデータを直接プルし、それに対してコンプライアンスタスクを評価します。

これには以下が含まれます。

セキュアコードの証拠
未解決のセキュリティ問題（深刻度別にグループ化）
リポジトリのスキャン活動
古いスキャンの特定（7日以上スキャンされていないリポジトリなど）

監視とアラートのために、Comp AIは以下も評価します。

設定可能な課題数の閾値
重大度別の内訳概要

これらのシグナルは、特定時点のアーティファクトではなく、最新の利用可能なデータに基づいて、脆弱性管理とセキュアなコードプラクティスに関連するコンプライアンスのタスクを満たすために使用されます。

仕組み

AikidoをComp AIに接続した後、チームはコンプライアンスチェックの厳格さを設定できます。

チェックが失敗する原因となる最小の重大度を定義し、許容される未解決の課題数に制限を設定し、どのリポジトリを含めるべきかを選択し、スヌーズされた課題がコンプライアンスに計上されるかどうかを決定できます。これにより、固定されたデフォルトに依存するのではなく、チェックが内部のリスクポリシーを反映できるようになります。

チェックが実行されると、Comp AIはAikidoからの最新データに対してそれを評価します。設定された閾値を超える脆弱性が存在する場合、チェックはその状態を反映します。それらの脆弱性が修正され、次のスキャンが完了すると、結果はそれに応じて更新されます。

証拠を更新するための個別のステップはなく、状況が変化したときに何かを再アップロードする必要もありません。

これがチームにとって何を意味するか

エンジニアリングチームにとって、日常業務は変わりません。脆弱性は引き続きAikidoで処理されます。

コンプライアンスチームにとって、メリットは一貫性です。Comp AIの証拠は、特定の瞬間に取得されたスナップショットではなく、スキャンと修正活動の現在の状態を反映します。

監査人にとって、これはより明確なコンテキストを提供します。孤立したアーティファクトをレビューするのではなく、脆弱性が時間とともにどのように特定され、追跡され、解決されるかを確認できます。

私たちは、コンプライアンスがセキュリティの既存の運用方法からチームを遠ざけるべきではないと考えています。Comp AIとの連携により、コンプライアンスはソースに密接に結びつきます。つまり、予測可能な周期で更新され、チームがすでにプログラムを管理している場所で評価される実際の脆弱性データに基づきます。