業界初の Bot Security プログラム

Level 1 のセキュリティ認定要件が含まれる。

Bot 開発者は、セキュアな Bot 開発者のラーニング パスを完了する必要がある。

Bot 開発者は、Bot がソフトウェア セキュリティの管理とベストプラクティスを使用して開発されたことを自己証明する必要がある。

ベストプラクティスの自己証明は、OWASP トップ 10 および CVE トップ 25 の脅威から Bot を保護することを目的とする。自己証明による確認内容は以下の通り。

• 認証と承認のパターンがセキュアで、十分に文書化されている。

• 依存するライブラリが公開され、スキャンされる。

• 暗号化機能が業界標準に準拠している。

• あらゆるタイプのネットワーク アクセスが、セキュアなチャネルを介して行われる。

• すべてのリソースへのアクセスが十分に文書化されており、最小権限の原則に従っている。

• 機密情報と資格情報は、資格情報コンテナーに格納される。

• 例外処理が、権限情報を危険にさらさない。

Level 2 のセキュリティ認定要件がすべて含まれる。

セキュリティ パートナーは、次の情報を含む Level 3 レポートを提供。

• Bot のプロセスと操作について説明する完成したデータフロー図。

• Bot のプロセスとアセットに対する上位の脅威について概要を示す脅威モデル。

• 特定された上位の脅威を防止するための緩和戦略と代替制御について説明する、Bot スキャン結果と分析ステートメント。

• Bot バイナリのマルウェア スキャンのクリーンな結果。

• 完了したソースコードのスキャン、および特定された脆弱性の修復に関する証明。

• 依存関係およびサードパーティ製ライブラリのセキュリティに関する証拠。

Level 3 のセキュリティ認定要件がすべて含まれる。

セキュリティ パートナーは、次の情報を含む Level 4 レポートを提供。

• 実際の環境で Bot を展開する方法と一致する環境での Bot のテストスコープの詳細な概要。

• 完了した結果と必須のテストケースの完了を含むテスト計画。

• 特定された問題について、修正されたことの証拠または修正の計画。