認証 緊急
内部 Issue API の認証境界を定義
新しい内部エンドポイントに到達できますが、認証メカニズムが記載されていません。
+0K 回のスキャンを毎月実行 - 数千人の開発者が信頼
仕組み
あらゆる設計情報から、実行可能なセキュリティ推奨事項へ。
チームが日常的に作成する設計、チケット、ドキュメントを取り込み、リポジトリに照らして推論し、設計段階の推奨事項を優先順位付きで返します。
設計情報
Confluence 
Notion 
Google Docs 
GitHub 
GitLab 
Azure DevOps 
Bitbucket 
Harness 
Cursor Security Design Review
推奨事項
認可 高
トリアージとリスク受容の変更にロールチェックを追加
影響の大きいフィールドを、ロールベースの承認統制なしで変更できます。
データ保護 緊急
分析基盤との境界より前に機密フィールドを暗号化
PII が転送時に暗号化されず、信頼境界を越えて分析基盤へ送られます。
入力検証 中
テンプレートに表示するスキャン由来フィールドをサニタイズ
取り込まれたスキャンコンテキストがテンプレートに表示され、格納型 XSS を引き起こす可能性があります。
Corgea が選ばれる理由
AI 駆動開発とともに拡張するプロダクトセキュリティ。
開発者の速度を落とさず、脆弱性を追いかける事後対応から、設計主導の予防的セキュリティへ移行します。
設計段階でリスクを検出
一行のコードを書く前、まだ提案の段階で、認証不備、データ露出、信頼境界の欠落を検出します。
実際のリポジトリに基づく分析
一般的なベストプラクティスではなく、フレームワーク、認証、セキュリティパターンなど、コードベースの実際の動作に照らして各推奨事項を確認します。
数日ではなく数分でレビュー
エンジニアリングがセキュリティのキューで待つ必要はありません。チケットと仕様は作成時に自動レビューされます。
変更の 100% をカバー
人員不足を理由にリスクベースで抽出する必要はありません。すべての設計、チケット、ドキュメントを一貫して高品質にレビューします。
既存のツール内で完結
Confluence、Notion、Google Docs、Jira、ソース管理に接続し、日々の作業環境でレビューを実行します。
エージェント型 SDLC に対応
コーディングエージェントが設計のリリースを加速しても、ボトルネックにならず、同じ速度でセキュリティレビューを拡張します。
チェック対象
コードに基づく、設計レベルのリスクの包括的レビュー。
Security Design Review は提案された設計がもたらす、または示唆するリスクを確認し、既存のリポジトリに照らして各項目を検証します。
提案された設計
すべての設計、チケット、仕様を読み取り、変更がもたらす、または示唆するリスクを確認します。
- 設計コンポーネントとサービス 対象となるサービスとコンポーネント、その相互作用をマッピングし、コンテキストに沿ってリスクを判断します。
- 認証・認可フロー フロー全体で ID、セッション、権限チェックがどのように設計されているかをレビューします。
- 機密データフロー PII、シークレット、規制対象データがどこを移動し、保存され、受け渡されるかを追跡します。
- 外部連携とサードパーティ 設計が依存するベンダー、API、サービスから生じるリスクを明らかにします。
- 信頼境界 信頼レベルが変わる箇所を特定し、各境界で適切な統制が実施されるかを確認します。
- 公開 API と内部 API インターネット公開領域と内部専用パスを分離し、それぞれに必要な統制を確認します。
- データの保存と永続化 データをどこにどう保存し、暗号化、保持、アクセスするかを確認します。
- 明示されたセキュリティ要件 機能について定められたセキュリティ要件に設計が準拠するかを検証します。
リポジトリに照らした検証
一般的なベストプラクティスではなく、現在のコードベースの実際の動作に照らして各検出結果を確認します。
- 使用中のフレームワーク コードベースで実際に使われるフレームワークと言語スタックに基づいて検出結果を判断します。
- 認証の実装 提案された設計を、現在のリポジトリで認証が実際に動作する方法と比較します。
- セキュリティミドルウェアとパターン コードがすでに使用しているガードレール、ミドルウェア、パターンを再利用します。
- 機密データの取り扱い コードがすでにシークレットと機密データを扱っている方法を考慮します。
- セキュリティ関連の依存関係 プロジェクトですでに使用されているセキュリティライブラリと依存関係を考慮します。
- 既存のポリシー 組織でコード化されたポリシーと標準をすべてのレビューに適用します。
- 既知のギャップ コードベースですでに把握されている弱点とギャップを考慮します。
設計主導のセキュリティ
次の設計を Corgea でレビュー
自社のチケットと仕様にある設計段階のリスクを数分で確認できます。
Security Design Review に関するよくある質問
セキュリティ設計レビューとは何ですか？
提案された機能、チケット、仕様について、認証・認可フロー、機密データフロー、信頼境界、外部連携など、その変更がもたらす、または示唆するセキュリティリスクを実装前に評価するレビューです。
Corgea は脅威モデリングと何が違いますか？
脅威モデリングと同様に設計段階に重点を置きますが、チームが図を手作りする必要はありません。既存の設計、チケット、ドキュメントを読み、実際のリポジトリに照らしてすべての検出結果を判断するため、開発速度に合わせて自動的にレビューできます。
リポジトリに基づく分析とはどういう意味ですか？
既存のコードベースを読み取り、フレームワーク、認証の実装、セキュリティミドルウェアとパターン、機密データの取り扱い、既知のギャップを把握します。一般論ではなく、実際のシステムに即した推奨事項を提示します。
どのツールに接続しますか？
Confluence、Notion、Google Docs、Jira、GitHub、GitLab、Azure DevOps、Bitbucket、Harness、Cursor などから設計コンテキストを取り込み、チームが日々使う環境に推奨事項を表示します。
レビューにはどのくらい時間がかかりますか？
手動の設計レビューでは数日かかるところ、数分で完了するため、セキュリティがリリースを妨げずエンジニアリングの速度に対応できます。
プロダクトセキュリティチームを置き換えますか？
いいえ。チームの能力を拡張します。反復的なレビュー作業を自動化し、すべての変更に一貫したレビューを実施しながら、セキュリティアーキテクトは最も影響の大きい判断に集中できます。