セキュリティゲート

セキュリティゲートは、スキャン結果を組織のセキュリティポリシーと照合し、通過・警告・失敗のいずれかで示すリリース判断の補助機能です。

単に「脆弱性が1件でもあれば失敗」とするのではなく、前回の成功したスキャンとの差分や例外の期限も評価します。

画面イメージ。判定、適用ポリシー、基準を超えた理由を確認します。

判定の意味

判定	意味	推奨する対応
通過	有効なポリシーの許容範囲内です	通常のリリース手続きを続ける
警告	警告条件に該当しています	理由を確認し、担当者がリリース可否を判断する
失敗	失敗条件に該当、または解析が不完全です	原則として修正・再スキャン・例外承認のいずれかを行う

注意

セキュリティゲートは自動的な安全保証ではありません。「通過」でもMedium以下の脆弱性や、静的解析で検出できない問題が残る可能性があります。

評価される条件

• 現在残っているCritical / High
• 前回までに無かった新規Critical / High
• 過去に解消した後、再び検出されたCritical / High
• 前回よりSeverityが悪化した脆弱性
• 有効期限を過ぎたリスク例外
• iOS / Android解析の失敗や、未解決の静的チェック候補による解析の不完全性

件数条件は「最大許容件数」を超えたときに該当します。たとえば最大許容件数が0なら、該当する脆弱性が1件以上あると警告または失敗になります。

前回スキャンとの比較

比較対象（ベースライン）は、同じアプリケーションで直前に少なくとも1つのプラットフォームが成功したスキャンです。

• 新規: ベースラインにも、それ以前の履歴にも無かった脆弱性
• 継続: ベースラインから引き続き検出されている脆弱性
• 再発: ベースラインでは解消していたが、それ以前の履歴に存在した脆弱性
• 解消: ベースラインにはあったが、今回検出されなかった脆弱性

初回スキャンにはベースラインがないため、現在の脆弱性は新規として扱われます。

ポリシーを選ぶ

組織管理者が「組織」→「一般」のセキュリティポリシーで設定します。

組織のデフォルトポリシーを決め、必要なアプリだけ個別ポリシーへ切り替えます。

1. まずプリセットの標準を組織のデフォルトとして運用する
2. 厳格なリリース基準が必要なアプリは、アプリ編集画面で厳格を選ぶ
3. 独自基準が必要なら、プリセットをもとにカスタムポリシーを作る
4. 数回のスキャン結果を見てから、最大許容件数と判定を調整する

プリセット	使いどころ
厳格	Critical / Highや悪化を原則失敗として止めたい
標準	Criticalは失敗、Highや悪化は警告として段階導入したい
監視のみ	まず判定傾向を観測し、リリースを止めずに導入したい

ポリシーを更新するとリビジョンが増えます。各スキャンには評価時のポリシーとリビジョンが保存されるため、後から「どの基準で判定したか」を追跡できます。

失敗したとき

1. 判定理由と対象件数を確認する
2. 該当する脆弱性を開き、根拠と影響を確認する
3. 修正できる場合は修正して新しいバイナリをスキャンする
4. 修正しない合理的な理由がある場合は、リスク例外を申請する
5. 解析が不完全な場合は、失敗したプラットフォームや静的チェックを解消して再スキャンする

例外を承認しても、過去のスキャン判定は書き換わりません。次のスキャンで改めて評価されます。