アプリケーションセキュリティポスチャ管理（ASPM）プラットフォームApiiro、業界初の設計段階でのAI駆動リスク検出を発表

アプリケーションセキュリティポスチャ管理（ASPM）プラットフォームのリーダーであるApiiroは、新しいAI駆動の機能「設計段階でのリスク検出」を導入しました。この新機能は、フィーチャーリクエストを自動的に分析し、リスクを特定し、アプリケーション開発ライフサイクルの最初の段階でセキュリティレビューや脅威モデルを開始します。これにより、アプリケーションセキュリティ（AppSec）実務者は、コードが書かれる前にセキュリティおよびコンプライアンスの懸念を軽減し、安全なソフトウェア開発ライフサイクル（SSDLC）プロセスを拡張できます。

現在市場に出回っているセキュリティ製品は、開発プロセスが始まってからのみリスクを検出します。しかし、これでは手動のリスク評価のアンケートに多くの時間が費やされ、リリース速度やビジネス価値に影響が出ます。設計段階でのリスク検出により、Apiiroの顧客は開発の初期段階でセキュリティ、データプライバシー、インフラ、コンプライアンスなどのリスクに対処し、時間とコストを大幅に節約しながら再作業を最小限に抑え、安全なソフトウェアの提供速度を加速できます。

Apiiroのリスクフィーチャーリクエストの検出は、AI技術（ApiiroのネイティブプライベートLLMを含む）に基づいています。このモデルはChatGPTや他の公開LLMサービスにはアクセスできず、顧客のプライバシーとコンプライアンスを保証します。このモデルはフィーチャーリクエストを自動的に分析し、潜在的なリスクを以下のカテゴリで特定します：

- 生成AI技術：生成AIツール、フレームワーク、技術、公開されたデータの追加や変更。
- 敏感なデータの取り扱い：PII、PHI、支払いデータフィールドの保存や処理、暗号化メカニズムの変更、データ移行、ログへの書き込み、APIの返り値としての利用。
- ユーザー権限とアクセス管理：ユーザー認証と認可、ログインまたは登録プロセス、ユーザー権限の変更。
- サードパーティ統合とオープンソース依存関係：オープンソースの依存関係やサードパーティサービスの追加や変更。
- アーキテクチャ設計とセキュリティコントロール：API、ネットワーク、データベース、ウェブサーバー、ウェブクライアント、ログ、シリアライゼーションなどの構成変更のリクエスト。

各リスクフィーチャーリクエストに対して、ApiiroのネイティブプライベートLLMモデルは、ディープコード分析（DCA）技術によって生成されたコードアーキテクチャに基づいて、セキュリティレビューのための状況に応じた質問を自動的に生成し、STRIDE脅威モデルを使用して脅威ストーリーを作成します。この自動化により手動のセキュリティプロセスが不要となり、開発速度が向上し、安全なコードのクラウドへのデプロイが迅速化され、ビジネスの成長が促進されます。さらに、Apiiroは設計リスクのコンテキストを特定のコードコミット、リポジトリ、プルリクエストに自動的にマッピングし、潜在的なリスクが実際のコードベースにどのように現れるかを深く洞察します。

Fortune 100の小売企業のセキュリティエンジニアリング責任者は、「設計段階で潜在的なリスクを検出することは、リスクが存在する前に最も効率的な方法でこれを修正する機会を提供します。しかし、これをスケールして開発チームが構築しているフィーチャーすべてを完全に網羅するのは挑戦です。Apiiroの設計段階のリスク検出エンジンは、ASPM分野で独自の機能を持ち、Secure-by-Designアプローチを近代化し、セキュリティエンゲージメントを強化し、脅威モデリングやセキュリティ要件プロセスを自動化できます」と述べました。

Apiiroの最高製品責任者であるMoti Gindi氏は、「現代のソフトウェア開発プロセスとアプリケーションアーキテクチャの絶え間ない複雑性の中で、Apiiroは設計からランタイムまでの完全なリスクベースの可視性と保護を提供することを約束します。安全なソフトウェアの構築は設計から始まり、Apiiroの設計段階でのAI駆動リスク検出は、コードが書かれる前にリスクに対処するためのシフトレフトアプローチをさらに一歩進めたものです。この初の機能はAIの力を活用し、効率的なセキュリティレビューを実現し、応用セキュリティのアプローチを反応的からプロアクティブに進化させるためのコンテキストを顧客に提供します」と述べました。

Apiiroについて
ApiiroはMorgan Stanley、Blackrock、Rakuten、SoFi、Shellなどの企業のアプリケーションセキュリティおよび開発チームに、アプリケーションリスクの可視性、優先順位付け、評価、および修正を統一的に提供し、セキュリティ発見のトリアージと実際のリスクの修正にかかる時間を節約することを可能にします。Greylock、Kleiner Perkins、General Catalystが支援する同社は、既存のセキュリティおよびITインフラと統合し、エクスポージャー管理プロセスのワークフローを推進します。