ホーム
アプリケーション・リスクの管理
以下のワークフローに従って、組織内のアプリケーション・セキュリティー・リスクを管理してください。
ステップ 5: 進行状況の測定とコンプライアンスの実証
進行状況の測定とコンプライアンスの実証方法について説明します。
コンプライアンスの実証
コンプライアンスの実証方法について説明します。
コンプライアンス・レポート
コンプライアンス・レポートについて説明します。
PA-DSS (ペイメント・アプリケーション・データ・セキュリティー基準) v3.0 レポート
この PA-DSS コンプライアンス・レポートは、金融機関がオンライン・アクティビティーから生じる運用上のリスクに対処できるよう、Web アプリケーションの脆弱性を識別、モニター、および報告します。

ようこそ
HCL AppScan Enterprise 10.6.0 の資料へようこそ。ここでは、HCL AppScan Enterprise をインストール、保守、および使用する方法に関する情報を見つけることができます。
AppScan® Enterprise のアクセシビリティー機能
アクセシビリティー機能は、運動障害または視覚障害など身体に障害を持つお客様が、IT 製品を快適に使用できるように支援します。
製品の概要
インストール
製品のインストール方法について説明します。
アップグレードおよびマイグレーション
製品のアップグレード方法について説明します。
統合
製品の他のソリューションとの統合方法について説明します。
DevOps
REST API およびプラグインを使用した製品の拡張方法について説明します。
ベスト・プラクティス
製品を使用するためのベスト・プラクティスについて説明します。
構成
製品の構成方法について説明します。
管理
製品の管理方法について説明します。
アプリケーション・リスクの管理
以下のワークフローに従って、組織内のアプリケーション・セキュリティー・リスクを管理してください。
- ステップ 1: アプリケーション・インベントリーの作成
  アプリケーション・インベントリーの作成方法を説明します。
- ステップ 2: 脆弱性に関するアプリケーションのテスト
  アプリケーション内で特定された脆弱性のテスト方法を説明します。
- ステップ 3: リスクの判別と脆弱性の優先順位付け
  アプリケーション内で特定されたリスクを判別して、脆弱性の優先順位付けをする方法について説明します。
- ステップ 4: リスクの修復
  アプリケーション内で特定されたリスクの修復方法を説明します。
- ステップ 5: 進行状況の測定とコンプライアンスの実証
  進行状況の測定とコンプライアンスの実証方法について説明します。
  - 進行状況の測定
    ポートフォリオを構成するアプリケーションのさまざまなメトリックと傾向を追跡する方法について説明します。
  - コンプライアンスの実証
    コンプライアンスの実証方法について説明します。
    - レポートとしての問題のエクスポート
      問題用にカスタマイズされたレポート ( HTML、PDF、Excel、または XML) を生成し、開発者、内部監査者、ペネトレーションテスト担当者、管理者、CISO に送信できます。AppScan Enterprise のレポート・テンプレートにより、アプリケーション・セキュリティー・データは主な行政規制および業界標準にマップされます。これらのレポートを使用して、コンプライアンス問題に関連するアプリケーションの脆弱性の数の減少を示すなど、法規制順守目標に向けた進行状況を文書化します。
    - セキュリティー・レポートのサイズの制限
      セキュリティー・レポートはサイズが大きい場合があります。レポート生成中、ファイルに数百ページの長さがある、あるいはレポートの作成処理がタイムアウトになることを示す警告メッセージが表示される場合があります。レポート・サイズを減らすために、以下のヒントを試してください。
    - コンプライアンス・レポート
      コンプライアンス・レポートについて説明します。
      - APRA PPG 234 - 「Management of Security Risk in Information and Information Technology」レポート
        このレポートには、この規制に準拠していない Web サイト上の問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - Basel II レポート
        この Basel II コンプライアンス・レポートは、Web アプリケーションの脆弱性を識別、モニター、および報告することにより、オンライン・アクティビティーから生じる運用上のリスクを金融機関が処理するのに役立ちます。
      - カリフォルニア州消費者プライバシー法 (CCPA) - AB 375
        このレポートには、これらの規制に準拠していないサイトで検出された問題が表示されます。Web アプリケーションの脆弱性の多くは、直接的または間接的に個人情報のセキュリティー侵害につながる可能性があり、規制違反と見なされる可能性があります。
      - 「Children's Online Privacy Protection Act of 1998」レポート
        このレポートには、サイトで見つかった Children's Online Privacy Protection Act (COPPA) の問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。注: このレポートで報告される問題の多くは、HIPAA レポートの問題と類似しています。両方のレポートがダッシュボードに追加されると、問題の数が膨れ上がってしまいます。このような状況にならないようにするためには、レポートごとにタブを作成するか、ダッシュボードにどちらか一方のレポートだけを追加するという方法を取れます。
      - 「UK Data Protection Act」レポート
        このレポートには、ユーザーのサイトで見つかった「データ保護法」の問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - DCID 6/3 先進テクノロジー IS の保護レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、相互接続した情報システムの安全と先進テクノロジーを使用した情報システムの安全を保護するための、セキュリティー要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。
      - 「DCID 6/3 Availability Basic」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information within Information Systems」マニュアルの 6 章に記載されている、基本保護レベルでのシステム運用の可用性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。「低」レベルとは、遅延が柔軟に許容される状態で情報が利用可能であること、または、可用性が失われることで悪影響が及ぶことを意味します。
      - 「DCID 6/3 Availability Medium」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information within Information Systems」マニュアルの 6 章に記載されている、中保護レベルでのシステム運用の可用性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。「中」レベルとは、遅延が最低限許容される状態で情報が利用可能であること、または、可用性が失われると、身体的な被害または組織レベルの利益への悪影響が生じるおそれがあることを意味します。
      - 「DCID 6/3 Availability High」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information within Information Systems」マニュアルの 6 章に記載されている、高保護レベルでのシステム運用の可用性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。「高」レベルとは、要求時に情報が常に利用可能であることを意味し、遅延は許容されません。可用性が失われると、人命の喪失、国益への悪影響、または機密性の侵害が生じるおそれがあります。
      - 「DCID 6/3 Confidentiality Reqs Protection Level 1」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information Within Information Systems」マニュアルの 4 章に記載されている、保護レベル 1 でのシステム運用の機密性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。
      - 「DCID 6/3 Confidentiality Reqs Protection Level 2」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information Within Information Systems」マニュアルの 4 章に記載されている、保護レベル 2 でのシステム運用の機密性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。
      - 「DCID 6/3 Confidentiality Reqs Protection Level 3」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information Within Information Systems」マニュアルの 4 章に記載されている、保護レベル 3 でのシステム運用の機密性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。
      - 「DCID 6/3 Confidentiality Reqs Protection Level 4」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information Within Information Systems」マニュアルの 4 章に記載されている、保護レベル 4 でのシステム運用の機密性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。
      - 「DCID 6/3 Confidentiality Reqs Protection Level 5」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information Within Information Systems」マニュアルの 4 章に記載されている、保護レベル 5 でのシステム運用の機密性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。
      - 「DCID 6/3 Integrity Basic」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information Within Information Systems」マニュアルの 5 章に記載されている、基本完全性レベルでのシステム運用の完全性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。「低」レベルとは、無許可の変更に対して必要な保護の度合いが適度であること、または、完全性が失われることで悪影響が及ぶことを意味します。
      - 「DCID 6/3 Integrity Medium」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information Within Information Systems」マニュアルの 5 章に記載されている、中完全性レベルでのシステム運用の完全性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。「中」レベルとは、無許可の変更に対して必要となる保護の度合いが高いことを意味しますが、絶対的な保護ではありません。完全性が中程度失われると、身体的な被害または組織レベルの利益への悪影響が生じるおそれがあります。
      - 「DCID 6/3 Integrity High」レポート
        このレポートでは、Web アプリケーションのスキャン結果を分析することで、「Protecting Sensitive Compartmented Information Within Information Systems」マニュアルの 5 章に記載されている、高完全性レベルでのシステム運用の完全性要件に違反する項目がないかを検出します。このレポートは、認定プロセスのステップ 3、4、5、8 の要件に違反する項目の検出に役立ちます。「高」レベルとは、無許可の変更に対して必要となる保護の度合いが非常に高いことを意味します。完全性が大きく失われると、人命の喪失や、国益または機密性への悪影響が生じるおそれがあります。
      - DISAのアプリケーションセキュリティおよび開発STIG、V5R3準拠レポート
        このレポートは、お客様のアプリケーションに見つかったDISAのアプリケーションセキュリティおよび開発STIG、V5R3のコンプライアンス問題を表示しています。「Application Security and Development Security Technical Implementation Guide (STIG)」は、アプリケーション開発のライフ・サイクルを通じて使用するセキュリティー・ガイダンスを提供します。国防情報システム局 (DISA: Defense Information Systems Agency) は、アプリケーション開発プロセスのなるべく早い時期にこのガイドラインを現場で使用することを推奨しています。
      - DoD Instruction 8500.1 - Cybersecurity レポート
        このレポートには、ユーザーのサイトで見つかった問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「DoD 指令 8550.1 - インターネット・サービスとインターネットを使用した機能」レポート
        このレポートには、ユーザーのサイトで見つかった問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「Electronic Funds Transfer Act and Regulation E」レポート
        このレポートには、サイトで見つかった EFTA 問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「European Directive 1995/46/EC」レポート
        このレポートには、サイトで見つかった個人データ保護指令 (EU 1995/46/EC) 問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「European Directive 2002/58/EC」レポート
        このレポートには、サイトで見つかったプライバシーおよび電子通信に関する指令 (EU 2002/58/EC) 問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「家庭教育の権利とプライバシーに関する法 (FERPA)」レポート
        このレポートは、ユーザーのサイトで見つかった FERPA 問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「連邦金融機関検査協議会 (FFIEC)、機密保護 IT 検査ハンドブック」レポート
        このレポートには、サイトで見つかった FFIEC に関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「Federal Information Security Management Act (FISMA)」レポート
        このレポートには、サイトで見つかった FISMA に関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - Federal Risk and Authorization Management Program (FedRAMP) レポート
        このレポートには、サイトで見つかった FedRAMP に関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「Financial Services (GLBA)」レポート
        このレポートには、サイトで見つかった GLBA に関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「情報の自由とプライバシー保護法 (FIPPA)」レポート
        このレポートは、ユーザーのサイトで見つかった FIPPA 問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「The Health Insurance Portability and Accountability Act (HIPAA) of 1996」レポート
        このレポートには、サイトで見つかった HIPAA に関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「Japan's Personal Information Protection Act」レポート
        このレポートには、サイトで見つかった「日本個人情報保護法」に関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - Massachusetts 201 CMR 17.00 レポート
        この MA 201 コンプライアンス・レポートは、Web アプリケーションの脆弱性を識別、モニター、および報告することにより、オンライン・アクティビティーから生じる運用上のリスクを金融機関が処理するのに役立ちます。
      - Management of Information Technology Security (MITS) レポート
        この MITS コンプライアンス・レポートは、Web アプリケーションの脆弱性を識別、モニター、および報告することにより、オンライン・アクティビティーから生じる運用上のリスクを金融機関が処理するのに役立ちます。
      - NERC CIPC 電子部門セキュリティー・ガイドラインレポート
        このレポートには、ユーザーのサイトで見つかった NERC CIPC 違反の問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - Network & Information Security Directive (NIS2) 準拠性レポート
        Network & Information Security Directive (NIS2) 準拠性レポートは、組織が EU 内のネットワークと情報システムのセキュリティと復元を保証する最新の NIS2 規則の準拠性を説明する文書です。
      - PA-DSS (ペイメント・アプリケーション・データ・セキュリティー基準) v3.0 レポート
        この PA-DSS コンプライアンス・レポートは、金融機関がオンライン・アクティビティーから生じる運用上のリスクに対処できるよう、Web アプリケーションの脆弱性を識別、モニター、および報告します。
      - PayCard Industry Data Security Standard (PCI DSS) - V4 準拠レポート
        このレポートには、サイトで見つかった PCI に関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「PIPED Act」レポート
        このレポートには、サイトで見つかった PIPED に関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「Privacy Act of 1974」レポート
        このレポートには、ユーザーのサイトで見つかったプライバシー法 (1974 年) の問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 個人情報保護法 (PoPIA) 準拠レポート
        このレポートには、アプリケーションにおける個人情報保護法 (PoPIA) への準拠の問題が表示されます。Web アプリケーションの脆弱性の多くは、直接的または間接的に個人情報のセキュリティ違反につながる可能性があり、規則違反と見なされる可能性があります。
      - 欧州議会および理事会による 2016/679 規定 - 一般データ保護規則 (GDPR)
        このレポートには、サイトで見つかった一般データ保護規則 (GDPR) の問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 「Safe Harbor」レポート
        このレポートには、サイト上で検出された欧州のセーフ・ハーバーに関する問題が表示されます。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - サーベンス・オクスリー法 (SOX) 2002 レポート
        このレポートは、サイトで検出されたサーベンス・オクスリーの問題を表示します。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
      - 連邦規制基準タイトル 21 (21 CFR) 11 項レポート
        このレポートは、Web サイトで見つかった 21CFR11 (連邦規制基準タイトル 21、11 項) に関する問題を示します。多くの Web アプリケーションのぜい弱性によって、直接的または間接的に個人情報のセキュリティー・ブリーチ (抜け穴) が発生する可能性があり、それが規定違反とみなされる場合があります。
    - 業界標準のレポート
      業界標準のレポートについて説明します。
トラブルシューティングおよびサポート
HCL® ソフトウェアの問題の理解、分離、解決に役立つように、このトラブルシューティングおよびサポートの情報には、HCL 製品と一緒に提供される問題判別リソースの使い方の指示が含まれています。
参照
製品の参照情報を確認します。
用語集

PA-DSS (ペイメント・アプリケーション・データ・セキュリティー基準) v3.0 レポート

この PA-DSS コンプライアンス・レポートは、金融機関がオンライン・アクティビティーから生じる運用上のリスクに対処できるよう、Web アプリケーションの脆弱性を識別、モニター、および報告します。

問題点

ペイメント・アプリケーション・データ・セキュリティー基準 (PA-DSS) の要件は、クレジット・カード業界データ・セキュリティー基準 (PCI DSS) の要件およびセキュリティー評価手順から派生しています。従来の PCI データ・セキュリティー基準コンプライアンスはペイメント・アプリケーション・ベンダーに直接適用されない場合があります (ベンダーの多くはカード所有者のデータを保管、処理、または送信しないため)。ただし、これらのペイメント・アプリケーションは、カード所有者のデータを保管、処理、または送信する顧客によって使用されます。こうした顧客は PCI データ・セキュリティー基準に準拠する必要があることから、ペイメント・アプリケーションでは顧客が PCI データ・セキュリティー基準に準拠するのを妨害するのではなく、この基準に準拠しやすくする必要があります。