Concept¶
RISKENを導入するとあなたのシステムのセキュリティ状態を可視化し管理することができます。
継続的なデータ収集¶
RISKENは日々変化するシステム環境のデータを継続的に評価します。
- RISKENはシステム環境に関する多種多様なデータソースを一箇所に集約します
- さまざまな視点で問題の確度を高めます
- 例えば、
情報漏えいインシデントの疑いがあった場合、下記のような観点で複数のポイントを見る必要があるからです- センシティブなデータが含まれているか？
- 本番データか、それ以外か?
- ストレージサービスの設定に問題はあったか？
- アクセスするために必要なキーの保存場所（例えばソースコードのリポジトリ）は安全だったか？
スコアリング¶
RISKENが収集したリスク情報にはすべてスコアが付きます。これにより優先順位の意思決定を助けることが目的です。
- RISKENは統一的なスコア（0.0 〜 1.0まで）を設定します
- スコアによってリスクの高い問題を把握したり、他と比較することができます
- 問題の優先順位を設定するのに役立ちます
実際の優先度
必ずしもRISKENが設定したスコア通りの優先度とは限りません
RISKENはプロジェクトごとのスコアの調整や除外設定も可能です
ホワイトリスティング¶
プロジェクト毎に柔軟にスコア調整することが可能です。
- 例えば、プロダクション環境とそれ以外のリソースで区別がつけられる場合、一般的にプロダクション環境は他に比べてセキュリティレベルを高く設計します
- そこで、プロダクション環境の特定のリソースに
通常のスコア x {係数}を設定することができます - これにより通常の判定よりもリスク値を高く調整することが可能です（逆に
{係数}に1より低い値を設定するとスコアを下げることもできます）
オープンソースやセキュリティサービスの活用¶
RISKENはセキュリティ関連のオープンソースや、CSP（クラウドサービスプロバイダー）が提供しているセキュリティサービスを積極的に活用します。
オープンなツールを活用することでより客観的にシステム環境のセキュリティを評価できるからです。
- RISKENチームで評価したサービスやツールを仕組みとして取り込み、継続的にそれらを実行します
- それらのツールでは不足している観点はRISKENチームが独自にスキャンツールを開発しています
- 収集したデータを汎用的なフォーマットに変換し、RISKENチーム側でスコアリングし収集します
プロジェクトの一元管理¶
多くのシステムを見る必要がある開発者／管理者のセキュリティ管理をサポートします。
- RISKENのユーザは自由にプロジェクトを作成することができます
- また複数のプロジェクトに参加することもできます
- ユーザの権限の範囲内でプロジェクトを切り替え、プロジェクトをまたいだ管理が可能です