Skip to main content
セキュリティデザインレビューは現在ベータ版であり、組織単位で有効にする必要があります。サイドバーにSecurity Reviewが表示されない場合は、Corgea管理者またはCorgeaの担当者にお問い合わせください。
セキュリティデザインレビューでは、実装前にPRD、仕様書、設計文書を評価できます。Corgeaは、選択したプロジェクトのコードとコンテキストに照らして設計を分析し、承認、却下、または保留にできるセキュリティ上の推奨事項を提示します。 認証・認可要件の欠落、安全でないデータ処理、脆弱な暗号化やセッション管理、リスクの高いサードパーティ依存関係、APIセキュリティの不備、インフラストラクチャ上の懸念など、設計段階のセキュリティリスクを早期に検出するために使用します。

​
レビューを開始する

1

Security Reviewを開く

CorgeaのサイドバーからSecurity Reviewを選択します。
2

レビューを作成する

New Reviewをクリックします。初めてレビューを作成する場合は、空の画面にStart a reviewと表示されることがあります。
3

デザインの詳細を追加

タイトルを入力し、設計文書、PRD、または技術仕様書をDesign Documentフィールドに貼り付けます。現在のベータ版で使用できるドキュメントソースはCustomです。Confluence、Google Docs、Notionは今後のリリースで対応予定です。
4

コンテキストを追加する

設計文書に含まれていない制約、ビジネス要件、アーキテクチャ上の補足、セキュリティ要件は、Additional Contextに入力します。
5

プロジェクトを選択する

設計が既存のリポジトリに対応する場合は、1つ以上のプロジェクトを選択します。プロジェクトを選択すると、Corgeaがレビューに利用できるコンテキストが増えます。
6

レビューを送信する

Start Reviewをクリックします。レビューはPendingステータスで作成され、推奨事項が生成されるまで処理が進みます。

​
レビュー結果

レビュー詳細ページには、元の設計文書、追加のコンテキスト、選択したプロジェクト、ステータス、セキュリティ上の推奨事項が表示されます。 各推奨事項には、カテゴリ、クリティカリティ、ステータス、タイトル、説明が含まれます。クリティカリティの高い順に表示されるため、影響が最も大きい項目を最初に確認できます。 各推奨事項は、次のいずれかのカテゴリに分類されます。
  • 認証:サインインフロー、認証情報処理、本人確認
  • 認可:アクセス制御と権限の適用
  • 入力検証:データ検証とインジェクションの防止
  • データ露出:機密データの取り扱いと情報漏えい
  • 暗号:暗号化と鍵管理
  • セッション管理:セッショントークンとライフサイクル
  • APIセキュリティ:APIエンドポイント、レート制限、CORS
  • サードパーティリスク:外部依存関係と連携
  • インフラストラクチャ:デプロイ、ネットワーク、インフラストラクチャ上の懸念
推奨事項のステータスは次のとおりです。
  • Pending:推奨事項はまだトリアージされていません。
  • Accepted:推奨事項が該当し、対応が必要です。
  • Rejected:推奨事項はこの設計に該当しません。
Security Reviewの推奨事項を更新する権限があるユーザーは、レビュー詳細ページで各推奨事項を承認、却下、またはリセットできます。

​
レビューのステータス

  • Pending:レビューは送信済みで、処理を待っています。
  • Processing:Corgeaが設計と選択したプロジェクトのコンテキストを分析しています。
  • Completed:推奨事項を確認できます。
  • Failed:レビューを完了できませんでした。詳細ページに表示されたエラーを確認するか、Corgea管理者にお問い合わせください。

​
アクセス

Security Reviewへのアクセスは、組織のプランとユーザー権限によって制御されます。セキュリティレビューの閲覧、新規レビューの作成、推奨事項のステータス更新には、それぞれ権限が必要な場合があります。