概要
ポートフォリオのダッシュボード、リスク要因、サプライチェーンマップ、経時変化、そして監視。
アナリストツールキット
1つのアプリケーションは、 複雑な部品の連なりです。
アプリケーションの内部で動作する一つひとつの部品にレンズを向ける作業は、多くの時間を要し得ます。アナリストツールキットは、アプリケーション内部で動作しているサービス、これまで把握していなかったベンダーや事業体へのエクスポージャー、そして将来問題を引き起こしかねないサプライチェーン上の依存関係を、集約して理解するための手段を提供します。
現代のWebアプリケーションは、他者から供給された部品を組み合わせて構築されるのが一般的です。1回のページ読み込みが、数十社もの他社に静かに接続することがあります。アナリティクスプロバイダー、広告ネットワーク、フォントサービス、動画プレーヤー、チャットウィジェット、決済処理事業者、コンテンツ配信ネットワーク、不正検知サービスです。そのいずれもがサプライヤーです。そのいずれもが、データが外へ出ていきうる場所であり、自社が書いていないコードが実行される場所であり、他社のビジネスで起きた問題が自社の問題になる場所です。
そのサプライヤーの集合が、お客様のデジタルサプライチェーンです。そしてほとんどの組織にとって、それは見えていません。SCVueはそれを可視化します。
ツールキットは何を提供するのか
SCVueは、Webアプリケーションのネットワーク活動を記録します。行われたすべてのリクエスト、読み込まれたすべてのファイル、通信したすべてのサーバー、設定されたすべてのCookieです。そのうえで、その記録を40以上の異なる観点から分析します。トラフィックが誰に向かったのか、それらのサーバーは世界のどこにあるのか、誰が所有しているのか、コードは何を行っているのか、どのような個人情報が送信されているのか、セキュリティ上の保護が正しく構成されているか、そしてそのすべての背後にどの実在する企業がいるのか、です。
答えられる問い
ツールキットには8つのレポートセクションがあり、デジタルサプライチェーンに関する問いに答えるために必要な検出結果の多くを可視化し、文書化します。時間の経過とともに、アプリケーションに影響を与えるサービスとベンダーの網はリスクになり得ます。しかも、短期間では対応しにくいリスクです。
- 自社は実際に、利用者のデータを誰に送信しているのか
- ベンダー契約に書かれている相手ではありません。測定したその日に、ブラウザが実際に接続した相手です。
- この中に、行くべきでない場所へ向かっているものはないか
- SCVueは、関係するサーバーの物理的および法的な所在地を特定します。これにより、トラフィックが注視している国境を越えたときや、自社の義務を変える法域に着地したときに、それを確認できます。
- 取引が認められていない企業へのエクスポージャーはないか
- SCVueは、企業、その所有者、制裁ステータス、そしてそれらに紐づく影響力要因を収録した、精選されたインテリジェンスカタログとトラフィックを突き合わせます。
- 何かが変わったか
- サプライヤーは、知らせることなくコードを変更します。SCVueはベースラインをキャプチャし、それ以降のキャプチャをそれと比較するため、サードパーティのスクリプトに告知なく加えられた変更は、見えない出来事ではなく目に見える出来事になります。
- それを証明できるか
- すべての検出結果は、アドレス、レスポンス、コンテンツ、タイムスタンプを伴う特定の記録済みネットワークコールまで遡れます。そのすべてを証拠としてエクスポートできます。
それは期待どおりでしたか
ブラウザからライブセッションをキャプチャすると、サードパーティのベンダーや社内の開発チームが証明できる範囲を超えて、アプリケーション内部で何が動作しているのかを把握できます。どのコードが実行され、トラフィックを生み出しているのかを見る唯一の方法は、それを細かな粒度で分析することです。それがアナリストツールキットを使う利点の1つであり、既知のものと未知のものを整理し、特定します。
トラフィックとリクエスト
アプリケーションがネットワーク上で行ったことの生の記録。
続きを読むアセット
アプリケーションが読み込んだすべてを、その種類別に。
続きを読むインフラストラクチャとホスティング
トラフィックの背後にある物理的・企業的な実態。誰のサーバー、誰のネットワーク、そしてどこに。
続きを読むデータフローと法域
情報がどこへ行き、どこに留まり、誰の法律が規律するのか。
続きを読むセキュリティと挙動
アプリケーションが自らを防御するよう構成されているか、そしてランタイムスクリプティング。
続きを読む事業体とベンダー
テクノロジーの背後にある、実在する企業、人物、製品。
続きを読む参照とエクスポージャー
実際に接続されたかどうかを問わず、ファイル内で名前が挙がっているすべて。
続きを読むプライバシーとコラボレーションのために構築
信頼できること、確実に動作すること、レジリエンスは、多くの場合、組織内で採用された原則に基づいています。そして、その原則に沿ったプロセスを実装することは、組織が考えている以上に複雑です。それを実行するのが1人の担当者の仕事であることはまれで、責任は時期によって異なる担当者に委ねられることがあります。
アナリストツールキットは、アプリケーションの挙動をリアルタイムに検証し、その結果をチームと共有できるようにします。アプリケーションのキャプチャと処理について、プライベートまたはクラウドのストレージを任意で選べるため、この情報を適切な方法で保護し共有するために必要な手段が得られます。証拠をどこに保存し、誰がアクセスできるかは、チームが決めます。
プライベートワークスペース
すべてのデータがブラウザ内に留まります。マシンの外に出るものはなく、アップロードされるものもなく、共有されるものもありません。
クラウドワークスペース
チームでのアクセス、デバイスをまたいだ作業、サーバー実行による監視により、チームでの利用が容易になります。PIIはアップロードされる時点でキャプチャから除去されるため、クラウドに保存されることは一切ありません。
指名された人、指定されたロール
ツールキットのレポートと分析機能は、承認されたロールを持つ、指名されたチームメンバーに提供されます。アクセス権はいつでも変更できます。
証拠のみ、マニフェストではありません
アナリストツールキットのどの情報も、信頼を前提として受け入れることを求めません。すべての行の背後には、それを生み出したキャプチャ済みのリクエストが、アドレス、ヘッダー、コンテンツ、タイムスタンプとともに存在します。
47