自社サプライチェーンの脆弱性
現代の技術チームは、技術スタックをすばやく前進させるためにサードパーティのコンポーネントライブラリを導入することが多く、その結果、1つのプラットフォームの下にサービス、依存関係、互換性要件が織り合わさったネットワークが生まれます。SCVueはそのノイズを見通す助けとなり、リソースが読み込まれるたびに検証することで、既知のコードはベンダーとバージョンによって名指しされ、未知のコードが際立ちます。
ソリューション 信頼できるアプリケーション。
信頼できるアプリケーション。
繰り返し評価しましょう。
自社のインターネットサプライチェーンを、あるいは他社のそれを検証するには、時間と繰り返しが必要です。事業が変化し、サードパーティとの連携が現れては消えていくなかで、管理しているアプリケーションが今も期待どおりに動作していることを確かめるには、厳密な取り組みが求められます。
共通しているのは評価です。リスク、テスト、コンプライアンス、法務、財務、デューデリジェンスのいずれの業務も、Web製品などのデジタルアプリケーションを対象とし、同じ判断を伴います。それは今も期待に沿っているか、そして設計されたとおりに動作しているか、という判断です。
テクノロジーは、企業イメージのデジタルフットプリントです。アプリケーションが読み込むサービス、その背後にある企業、そしてそれらに関係する人々は、容易には観測できませんが、明らかになったときには事業や製品の評判に大きな影響を与え得ます。
信頼できるネットワークの評価
あらゆるWeb製品は、ほかの誰かのインフラストラクチャ、コード、サービスの上で動作しています。最初の問いは、その連鎖に実際にいるのは誰か、です。
公共向けポートフォリオ
公共のために多数のサイトを監督するには、さらに一段の責任と注意義務が求められます。ポータルネットワークの規模と複雑さには、SCVueのロールアップレポート、部門別の集約、事業部単位でのフィルタリング、再キャプチャのスケジュール設定とアラートで対応します。これにより、評価は最新かつ行動に移せる状態に保たれます。
開示内容の評価
プライバシーポリシー、利用規約のページ、部品表、コンプライアンス声明は、いずれも意図を記述します。キャプチャは挙動を記述します。評価はその両者を突き合わせるものであり、一致しない部分が検出結果になります。
法務、コンプライアンス、監査担当
フローダウン条項、GDPR、そして自社のデータが経由する法域は、主張するのではなく証拠で示さなければならない義務です。SCVueは再委託先の連鎖を追跡し、データがどこに保存され、どの法制度がそれを規律するのかを特定したうえで、すべての検出結果を、その裏付けとなる記録済みのコールにリンクします。
ソフトウェアベンダー
顧客は自社を監査し、部品表の提出を求めることが増えていますが、ビルドマニフェストが記述するのは、ブラウザがランタイムに組み上げる内容ではなく、コンパイルした内容です。SCVueは実際に読み込まれたと観測された内容から部品表を構築し、宣言されたCycloneDXまたはSPDXのファイルと突き合わせるため、シャドー依存関係が表面化します。
個人と企業
個人事業主から規模を問わない企業まで、その背後に誰がいるのかをほとんど知らないまま、サードパーティのコンポーネントの上に構築しています。実績のない設立間もない企業、別の国から運営されているサポート、本番環境で使われた例がほとんどないAPIといった具合です。それを手作業で調べるのは大変で費用もかかり、省略すれば自社のサプライチェーンに弱点を残すことになります。SCVueは、統合されている各サービスの背後にある企業、その本拠地の国、そしてそれが持ち込むソフトウェアとバージョンを名指しで示します。
信頼性の評価
信頼性は稼働時間に基づくものではありません。アプリケーションが設計されたとおりのことを行っているか、そして依存しているサービスが変更されたり停止したりしたときに何が起きるか、ということです。
リスク管理者
評判、顧客に生じる中断、従業員に対する注意義務、投資先に潜むエクスポージャーは、いずれもほかの誰かが運用するテクノロジーの上に成り立っています。SCVueのクラウドおよび配信ネットワークのレポートは、各プロバイダーが自社のトラフィックのどれだけを担っているかを示し、脆弱性の照合は公表された弱点を持つコンポーネントを名指しし、ポートフォリオのロールアップはその両方を、追跡しているすべてのアプリケーションに適用します。集中は、セキュリティの検出結果であると同時にレジリエンスの検出結果であり、それが現れるのがここです。
テスターとPENTESTチーム
クライアントの技術仕様書は、何が実行されたかの証拠ではなく、テスト評価の場で常に明快に説明できるものでもありません。テスターに求められるのは、技術スタックの脆弱性について、疑いではなく証明を示すことです。それは再現可能で、文書化された証拠でなければなりません。SCVueは、実行されたスクリプトと、ほかのスクリプトによって読み込まれたスクリプトを追跡し、ランタイムに生成またはフェッチされたコードにフラグを立て、すべての結果を記録済みのコールにリンクするため、各キャプチャから検証できます。
評判と影響力の評価
製品の連携パートナーは、企業がそれを意図しているかどうかにかかわらず、その企業について何かを物語ります。
デューデリジェンスサービス提供者
審査、スクリーニング、監査、レビューの質は、その背後にある手法の質を超えることはありません。そしてクライアントは、それをもう一度実施するよう求めてきます。SCVueは、キャプチャプランとデバイスプロファイルによってキャプチャを再現可能にし、証拠は案件ごとにお客様が選んだワークスペースに保持します。
他社アプリケーションの評価
提携や買収の検討対象になっている企業、あるいは価値評価のプロセスを受けている企業にとって、そのベンダー依存関係の一覧は重要な要素であり、どの企業も検証できてしかるべきものです。SCVueは、多くの場合キャプチャを1つインポートするところから、最初の打ち合わせより前にその連携ベンダーの一覧を明らかにします。
詳細調査と競合分析
競合製品の連携パートナーを把握することは、その競合のサプライチェーンリスクに関する有益な洞察となり、マーケティングや販促資料においても優位につながります。詳細調査は機能比較や価値提案だけのものではなく、リスクプロファイリングによってさらに強化されます。SCVueは、観測されたドメインとホスト名を特定済みのベンダーへと解決するため、アプリケーションが競合と比べてどう位置づけられるかを確認できます。
同じキャプチャが4つすべてに答えます
信頼できるネットワーク、開示、信頼性、評判は、4つの評価ではありません。1回のキャプチャで得た同じデータに対する、4通りの解釈です。