カスタム・コンプライアンス・ポリシーの作成

必要な権限があれば、独自のカスタム・コンプライアンス・ポリシーを作成したり削除したりできます。

カスタム・コンプライアンス・ポリシーを定義するには、JSON 式ツリーを使用します。式ツリーは、単一の基本式、または論理演算 (And, Or, Not) を含む複数の式で構成できます。各基本式は、事前定義された関数とそのパラメーター (必要な場合) から構成されます。パラメーター値は、コンプライアンス・ポリシーの作成時に設定することも、$ を使用して未定義のままにしておくこともできます。パラメーターを未定義にすると、ユーザーはコンプライアンス・ポリシーをアプリケーションに関連付けるときに値を指定する必要があります。
注:
ユーザー・インターフェースで使用するコンプライアンス・ポリシーを作成する場合、すべてのパラメーターを定義する必要があります。そうしなければ、コンプライアンス・ポリシーをアプリケーションに関連付けることができません。
カスタム・コンプライアンス・ポリシーを作成する利点の 1 つは、パラメーターをコンプライアンス・ポリシーにハードコーディングできることです。その結果、ユーザーは毎回パラメーターを定義しなくてもコンプライアンス・ポリシーを使用できます。例えば、事前定義されたベースライン・コンプライアンス・ポリシーを使用して、開始日を指定した一連のカスタム・コンプライアンス・ポリシーを作成できます。

事前定義された関数

コンプライアンス・ポリシーでは、以下の事前定義された関数を使用できます。関数はアスタリスク (*) が付いていない限りパラメーターを必要としません。
  • 問題関数:
    • StartDate*
    • MinSeverity*
    • OwaspTop10_2017
    • SansTop25
    • EUGdpr_2016
    • PCI
    • CWE*
    • ThreatClass*
    • HIPAA
    • OwaspTop10Mobile_2016
    • ISO27001
    • ISO27002
    • Wasc
    • Nist
    • Sox
    • Fisma
    • Fippa
    • Efta
    • DISA_STIG
    • PADSS
    • OwaspTop10_2021
    • OwaspTop10OpenApi_2019
    • CCPA
    • FedRamp
    • Popia
    • OwaspTop10Api_2023
    • SansTop25_2023
    • OwaspTop10CloudNativeApp
    • Nis2
    • Dora
    • OwaspAsvs
    • Technology*
    • SansTop25_2024
    • OwaspTop10Llm_2025
    • Itsg33
    • OwaspTop10_2025
  • ライセンス関数
    • BlockedLicenseName*
    • AllowedLicenseName*
    • AllowedCopyLeft*
    • AllowedRiskLevel*
    • AllowedCopyrightRiskScore*
    • AllowedPatentRiskScore*
    • AllowedLinking*
    • AllowedRoyaltyFree*

パラメーターを必要とする関数:

関数 説明 パラメーター 例 1 例 2
発行ポリシー関数
StartDate この日付以降に更新された問題のみを評価する 以下のいずれかの形式で日付を指定します (時刻を含めることもできます)。
  • yyy-MM-dd
  • yyyy-MM-ddThh:mmZ (UTC)
  • yyyy-MM-ddThh:mm+hh:mm (現地時間 +/- UTC オフセット)
 ["2025-01-01"] ["2025-06-15T00:00Z"]
MinSeverity 違反の最小重大度しきい値
  • 情報
  • 低
  • 中
  • 高
  • 重大
 ["Medium"] ["Hgh"]
Technology スキャン・テクノロジーの種類でフィルタリングする
  • DAST
  • SAST
  • IAST
  • SCA
 ["DAST"] ["SCA"]
CWE 特定の CWE ID でフィルタリングする CWE ID のリスト ["79"] ["89", "502"]
ThreatClass 脅威クラス識別子でフィルタリングする 脅威クラス・リスト ["catSQLInjection"] ["catServerMisconfiguration"]
SCA (オープン・ソース・ライセンス) ポリシー関数
StartDate この日付以降に更新されたパッケージのみを評価する 以下のいずれかの形式で日付を指定します (時刻を含めることもできます)。
  • yyy-MM-dd
  • yyyy-MM-ddThh:mmZ (UTC)
  • yyyy-MM-ddThh:mm+hh:mm (現地時間 +/- UTC オフセット)
 ["2025-01-01"] ["2025-06-15T00:00Z"]
BlockedLicenseName これらの特定のライセンスを持つパッケージをブロックする ["GPL-3.0"] ["AGPL-3.0"]
AllowedLicenseName これらのライセンスのみを許可し、他のすべてのライセンスにはフラグが付けられる ["MIT"] ["Apache-2.0"]
AllowedCopyLeft これらのコピーレフト・レベルのみを許可する
  • コピーレフトは、オープン・ソース・ソフトウェアを使用する独自のコードだけでなく、修正にも適用される (Full)。
  • コピーレフトでないライセンス (No)。
  • コピーレフトは修正にのみ適用される (Partial)
 ["No"] ["Partial"]
AllowedRiskLevel これらのライセンス・リスク・レベルのみを許可する
  • 低
  • 中
  • 高
 ["Low"] ["Medium"]
AllowedCopyRiskScore これらの著作権リスク・スコアのみを許可する
  • ONE
  • TWO
  • THREE
  • FOUR
  • FIVE
  • SIX
  • SEVEN
 ["ONE"] ["TWO"]
AllowedPatentRiskScore これらの特許リスク・スコアのみを許可する
  • ロイヤルティー・フリーおよび識別された特許リスクなし (ONE)。
  • 訴訟が発生しない限りロイヤルティー・フリー (TWO)。
  • 付与された特許なし (THREE)。
  • 識別された特定の特許リスク (FOUR)。
 ["ONE"] ["TWO"]
AllowedLinking これらのリンク・タイプのみを許可する
  • ウイルス
  • 動的
  • 非ウイルス
 ["Non_Viral"] ["Dynamic"]
AllowedRoyaltyFree これらのロイヤリティー・フリー・ステータスのみ許可する
  • ロイヤルティー・フリーおよび識別された特許リスクなし (Yes)。
  • 訴訟がない限りロイヤルティー・フリー (Conditional)。
  • 付与された特許なし (No)。
 ["Yes"] ["Conditional"]

ユーザー・インターフェースを使用したカスタム・コンプライアンス・ポリシーの作成

カスタム・コンプライアンス・ポリシーを作成するには、次の手順を実行します。
  1. 「ガバナンス」 > 「コンプライアンス・ポリシー」で、「カスタム・コンプライアンス・ポリシーの追加」をクリックします。
  2. コンプライアンス・ポリシーに名前を付け、JSON 式として定義します。
    注:
    インターフェースを使用してコンプライアンス・ポリシーをアプリケーションに関連付ける予定の場合、コンプライアンス・ポリシーを関連付けるときにパラメーターを定義することはできないため、コンプライアンス・ポリシーの作成時にすべてのパラメーターを定義する必要があります。API を使用してコンプライアンス・ポリシーをアプリケーションに関連付ける予定の場合は、パラメーターを未定義のままにして、関連付ける際に値を定義できます。

    例 1: カスタム・ベースライン・コンプライアンス・ポリシー

    {  
                                "Function":"StartDate",
                                "Parameters":[  
                                "2017-12-31T13:50Z"
                                ]
                                }

    例 2: カスタム CWE コンプライアンス・ポリシー

    {  
                                    "Function":"CWE",
                                    "Parameters":[  
                                    89,
                                    90
                                    ]
                                    }

    例 3: 複合カスタム・コンプライアンス・ポリシー

    {  
                                        "Operation":"And",
                                        "Expressions":[  
                                        {  
                                        "Function":"StartDate",
                                        "Parameters":[  
                                        "2018-04-24T10:30Z"
                                        ]
                                        },
                                        {  
                                        "Function":"MinSeverity",
                                        "Parameters":[  
                                        "Medium"
                                        ]
                                        }
                                        ]
                                        }

    例 4: CWE 89 と 90 を除外するカスタム・コンプライアンス・ポリシー

    {
                                            "Operation": "Not",
                                            "Expressions": [
                                            {
                                            "Function": "CWE",
                                            "Parameters": [
                                            89,
                                            90
                                            ]
                                            }
                                            ]
                                            }

    例 5: CWE 89 と 90 を除外するカスタム OWASP トップ 10 コンプライアンス・ポリシー

    {
                                                "Operation": "And",
                                                "Expressions": [
                                                {
                                                "Operation": "Not",
                                                "Expressions": [
                                                {
                                                "Function": "CWE",
                                                "Parameters": [
                                                89,
                                                90
                                                ]
                                                }
                                                ]
                                                },
                                                {
                                                "Function": "OwaspTop10_2017"
                                                }
                                                ]
                                                }

    例 6: 技術に基づいて問題をフィルタリングするカスタム・コンプライアンス・ポリシー

    {
                                                    "Function": "Technology",
                                                    "Parameters": [
                                                    "DAST",
                                                    "SAST"
                                                    ]
                                                    }
  3. 完了したら、「閉じる」をクリックします。

REST API を使用したカスタム・コンプライアンス・ポリシーの作成

REST API では、式ツリーを使用してコンプライアンス・ポリシーを定義します。式ツリーは、単一の基本式、または論理演算 (And, Or, Not) を含む複数の式で構成できます。各基本式は、事前定義された関数とそのパラメーター (必要な場合) から構成されます。パラメーター値は、コンプライアンス・ポリシーの作成時に設定することも、$ を使用して未定義のままにしておくこともできます。パラメーターを未定義にすると、ユーザーはコンプライアンス・ポリシーをアプリケーションに関連付けるときに値を指定する必要があります。

例 1: カスタム・ベースライン・コンプライアンス・ポリシー

{
                "Name": "Baseline",
                "Predefined": true,
                "Expression": {
                "Function": "StartDate",
                "Parameters": [
                "$DATE"
                ]
                }
                }

例 2: カスタム CWE コンプライアンス・ポリシー

{
                "Name": "CWE policy",
                "Expression": {
                "Function": "CWE",
                "Parameters": [
                89,
                90
                ]
                }
                }

例 3: 複合カスタム・コンプライアンス・ポリシー

このカスタム・コンプライアンス・ポリシーの例では、関数 StartDate と MinSeverity が演算 And で組み込まれており、指定された日付以降に検出され、指定された最小重大度の問題のみが含まれるようになっています。

  {
                "Name": "MyPolicy",
                "Predefined": false,
                "Expression": {
                "Operation": "And",
                "Expressions": [
                {
                "Function": "StartDate",
                "Parameters": [
                "2018-04-24T10:30Z"
                ]
                },
                {
                "Function": "MinSeverity",
                "Parameters": [
                "$minseverity"
                ]
                }
                ]
                }
                }

例 4: 技術に基づいて問題をフィルタリングするカスタム・コンプライアンス・ポリシー。DAST スキャンと SAST スキャンの問題のみがリスト表示されます。

{ 
                    "Name": "Tech Filter", 
                    "Expression": { 
                    "Function": "Technology", 
                    "Parameters": [ 
                    "DAST", 
                    "SAST" 
                    ]
                    } 
                    }