Skip to main content
SLA管理では、SAST（コード）とSCA（依存関係）の検出結果について、緊急度別に修正期限とエスカレーション期限を定義できます。期限を超過すると、CorgeaがメールまたはWebhook（sla.violationイベント）でチームに通知します。

​
対象者

未解決の検出結果に対する対応時間を明確に定める必要がある、プロジェクトマネージャー、セキュリティチーム、開発者を対象としています。

​
主な機能

  • **コード脆弱性（SAST）と依存関係の脆弱性（SCA）**に個別のSLA
  • 緊急度（Critical、High、Medium、Low）別に設定できる修正期限とエスカレーション期限
  • 期限超過時のメールによる概要通知（受信者は問題の種類と期限の段階に応じて異なります）
  • CorgeaのWebhook（sla.violationイベント）によるWebhook通知。既存の連携Webhookを使用するか、SLAフォームから作成できます
  • 締め切り違反の日次自動チェック(overdue / escalated)
  • 問題画面と、コードおよび依存関係の検出結果を対象とするIssue AgingレポートでSLA違反状況を表示

​
アクセス方法

Policies → SLA Managementに移動します。対応プランとIssue SLA権限が必要です。

​
セットアップ手順

1

SLA Managementを開く

Policiesに移動し、SLA Managementを開きます。
2

問題SLAを作成

Create Issue SLAをクリックします。
3

問題の種類を選ぶ

**Code Vulnerability (SAST)またはDependency Vulnerability (SCA)**を選択します。各SLAは選択した種類にのみ適用されます。
4

緊急度と期限を設定

緊急度を選択し、RemediationとEscalationの期限（日数）を設定します。
5

通知の設定

  • Email — 任意。期限を超過すると、適切な受信者に日次サマリーを送信します（後述）。
  • Webhook — 任意。ドロップダウンから既存のWebhookを選択するか、新しいHTTPS URLを入力します（sla.violationを購読するWebhookが作成されます）。詳細はWebhookを参照してください。
6

保存

Save SLAをクリックします。

​
通知の仕組み

Corgeaは未解決の問題を1日1回確認します。アラートは期限を超過した後にのみ送信され、問題がSLA期間内にある間は送信されません。

​
メール通知

SLAの作成時または編集時にEmailを有効にします。期限を超過した問題をプロジェクトと重大度別にまとめた日次サマリーが、問題ごとではなく受信者ごとに1通送信されます。 期限には2種類あります。
  • Remediation — 問題が期限を超過し、対応が必要であることを示す最初のアラート。
  • Escalation — 問題が未解決のままの場合に、通常はプロジェクト責任者へ送られる後続アラート。
メールの受信者は、問題の種類と超過した期限によって異なります。 コード脆弱性(SAST) 依存脆弱性(SCA) 依存関係の問題もコードの問題と同様に、問題の詳細ページにあるAssigneeドロップダウンから割り当てます。
SLAメールが適切なチームに届くように、Project settingsでプロジェクト所有者を追加します。所有者がいない場合、通知は会社管理者に送信されます。

​
Webhook通知

SLA上でWebhookが設定されると、Corgeaは構造化されたJSONペイロードでそのWebhookに**sla.violation**イベントを発生させます(参照Webhook)。以下は可能です:
  • 既存のWebhookを選択します。必要に応じて、Corgeaが自動的にsla.violationを登録します
  • 新しいURLを入力してSLAアラート専用のWebhookを作成します（HTTPS必須）
Webhookは他のCorgeaのWebhookと同じ配信パイプライン(再送信、署名、配信履歴)を使用します。 sla.violationの場合、 ペイロード内のいずれかのプロジェクトがフィルターに一致するとマッチ します(1つの通知が複数のプロジェクトにまたがる場合に役立ちます)。
このリリースより前に作成されたSLAでは、通知方法としてSlackが表示される場合があります。新規作成または編集したSLAでは、代わりにWebhookを使用します。Integrations → WebhooksでSlackの受信Webhookを登録し、SLAフォームで選択します。

​
SLAの編集と管理

  • 既存のSLAに対して 編集 を適用すること。フォームには問題タイプ、緊急性、期間、メールチェックボックス、選択したWebhook(あれば)が事前に入力されます。
  • SLA表は タイプ (SASTまたはSCA)、タイムフレーム、設定済み通知方法を示しています。

​
レポートと問題のステータス

  • Reporting → Aging には、遅延 コード や 依存関係 の問題(要約数、緊急度の内訳、プロジェクト、エコシステム、トレンド)が含まれます。
  • コードおよび依存関係の問題にはSLAステータスが表示され、担当者がいる場合はAgingレポートの担当者別内訳に含まれます。
  • SCA SLAが適用される場合、スキャンの依存関係ビューでSLAステータスを絞り込めます。

​
例

​
重要なコード検出結果のためのSLA

1

SLAの作成

種類をCode Vulnerability (SAST)、緊急度をCriticalに設定してSLAを作成します。
2

期限を設定

修復は2日、エスカレーションは3日に設定してください。
3

通知

メールを有効にし、sla.violationに登録したSlackまたはTeamsのWebhookを選択してください。

​
重大度が高い依存関係のためのSLA

1

SLAの作成

種類をDependency Vulnerability (SCA)、緊急度をHigh（必要に応じてCriticalも）に設定してSLAを作成します。
2

期限を設定

パッチの頻度に合わせて修復とエスカレーションのウィンドウを設定してください。
3

通知

プロジェクト所有者へのメール、セキュリティチャンネルへのWebhook、またはその両方を使用します。

​
ベストプラクティス

  • 非本番環境で短い修復ウィンドウを用いてメールやWebhookの配信を検証する。
  • SLAがあるすべてのアクティブなプロジェクトにプロジェクトオーナーを割り当てる。
  • 可能な限り、単発のURLではなく、sla.violationを購読する連携Webhook（Slack、Zapier、カスタム）をチームチャンネルに使用する。
  • コード修正と依存関係アップグレードで修復スケジュールが異なる場合、別々のSASTとSCAのSLAを定義すること。

​
トラブルシューティング

  • メールが届かない — SLAでEmailが有効であること、問題が実際に期限を超過していること、受信者（担当者、プロジェクト所有者、管理者）のCorgeaアカウントに有効なメールアドレスがあることを確認します。
  • Webhookが届かない — SLAでWebhookが選択または作成されていること、Webhookがactiveであること、問題が実際にSLA期限を超過していることを確認します。Integrations → Webhooks → Historyも確認してください。
  • 受信者リストが空 — 有効なメールアドレスを持つプロジェクトオーナーまたは会社管理者を追加します。
  • SCA問題が一致しない — スキャンを通じて問題とプロジェクトが関連付けられ、緊急度がSLAルールに一致していることを確認します。