脆弱性を継続して見つけ、修正する

動く試作品が、保守されないサービスになる

Vibe codingなら、有用な試作品を素早く作れます。継続的なセキュリティ保守なしに使い続けると、本番のリスクが増えます。これは重大な不足です。作成者が仕事は完了したと考えていても、ソフトウェアはリスクにさらされたままになります。

不足は技術だけでなく、組織にもあります。スキャナーがあっても、責任者がいない場合があります。検出結果に担当者がいても、リリース経路がない場合があります。修正をmergeしても、本番では古い成果物が動き続ける場合があります。

実際の開発プラットフォームと設定を評価してください。セキュリティ機能を備えたツールもあります。製品の呼び名だけでは、デプロイ済みアプリに継続的なスキャンと検証済みの修正が届くかは分かりません。

証拠が変わる時点でスキャンする

変更案とビルド済み成果物に対し、関連する確認を実行します。commitがなくても脆弱性情報は変わるため、サポートするバージョンを定期的に再評価します。関連する脆弱性情報、曝露の変化、インシデントが現れたら、追加レビューを開始します。

対象範囲を明示します。リポジトリ、ブランチ、lockfile、イメージ、デプロイ済みダイジェスト値、ランタイム、環境を特定します。機能開発を終えていても、利用者にサービスを提供しているアプリは含めます。

失敗したスキャンは、証拠の不足です。スキャンの鮮度、情報フィードの障害、認証失敗、未対応コンポーネント、対象範囲の抜けを監視します。ジョブが失敗した後の空の検出一覧は、問題なしの結果ではありません。

問いに合う確認を使う

これらを、レビューや関連するセキュリティテストと組み合わせます。どのスキャンも、脆弱性がないことを証明すると主張しないでください。

架空の検出結果を本番まで追う

深刻度、悪用の証拠、曝露、影響するデータ、利用できる緩和策から優先順位を決めます。CISAのカタログは、確認された悪用を特定する助けになります。一つの情報源であり、完全なリスク評価ではありません。CISAカタログを参照してください。

一時的な例外には、証拠、責任者、代替の管理策、有効期限または見直し条件が必要です。パッチがなければ、許可された回避策、機能制限、影響するコンポーネントの削除を検討します。

保守の不足を解消する

優先順位ごとに、分類までの時間と、検証済みの修正までの時間を測ります。期限を超えた例外、古いスキャン、影響する本番バージョン、繰り返す検出結果を追跡します。検出件数の減少は、対象範囲の縮小を示す場合もあります。分母を確認してください。

TaigaのMaintainingは、接続したリポジトリを変更後および定期的にスキャンします。検出結果を記録し、修正をinitiativeとレビュー済みの変更に結び付けます。スキャンの状態と、現在の文書に記載された動作を確認してください。Maintainingを参照してください。

パイプラインには、引き続き適切なリリース条件が必要です。サービス責任者は、デプロイと運用上の正しさを確認する必要があります。この継続的なつながりは、AIソフトウェアファクトリーの運用の一部です。最初のバージョンが試作品だった製品にも当てはまります。