リスクマップ機能をリリースしました

埋もれていたリスクを、一箇所で追跡できるように

インシデントは起きてから対応できます。しかし「そのうち事故につながりそうな懸念」は、Slackのスレッドやレビューコメント、担当者の頭の中に散らばったまま、誰も棚卸ししないまま放置されがちです。

今回リリースしたリスクマップは、コード・インフラ・依存関係・ビジネス・運用といった領域を横断して、こうしたリスクを一元的に登録・追跡するための機能です。サイドバーの「リスクマップ」からご利用いただけます。

主な機能

1. リスクの登録と追跡

リスクを「カテゴリ」「重大度」「ステータス」の3軸で構造化して管理します。

- カテゴリ（5種）— コード / インフラ / 依存関係 / ビジネス / 運用

- 重大度（5段階）— 緊急 / 高 / 中 / 低 / 情報

- ステータス（6種）— オープン / 確認済み / 対応中 / 解決済み / 受容 / 重複

「受容」ステータスを用意しているのが特徴です。すべてのリスクを潰す必要はなく、意思決定として受け入れたリスクを、受け入れたと記録に残せることがリスク管理では重要になります。

一覧画面ではタイトル・場所・報告者による検索と、ステータス・重大度・カテゴリでの絞り込み（複数選択可）、各列でのソートに対応しています。

2. インシデントとCMDBサービスへの紐付け

リスク詳細画面から、既存のインシデントとCMDB上のサービスを紐付けられます。

これにより「このサービスにはどんなリスクが残っているか」「過去のどのインシデントがこのリスクの根拠になっているか」を相互に辿れるようになります。紐付けたインシデント・サービスからは、それぞれの詳細ページへワンクリックで遷移できます。

3. 過去のインシデントから、潜在リスクをAIが提案

リスク管理の一番の壁は「そもそも何がリスクなのかを洗い出す作業」です。

リスクマップには、解決済みインシデントをAIが分析して、まだ登録されていない潜在リスクを提案する機能を搭載しました。一覧画面の「潜在リスクを特定」から実行すると、直近の解決済みインシデント（最大100件）を横断的に分析し、3〜10件のリスク候補を提示します。

各候補にはタイトル・カテゴリ・重大度に加えて、なぜそれがリスクだと判断したかの根拠と、根拠になった実際のインシデント名が添えられます。内容を確認し、必要なものだけチェックして一括登録できます。日本語・英語のどちらでも出力されます。

「同じ種類の障害が繰り返し起きているが、根本原因は手つかず」といったパターンの発見に効果を発揮します。

4. CVEスキャンからの自動リスク起票

CMDBのサービスに tech:<プロダクト名> 形式のタグを設定しておくと、脆弱性情報（CVE）のスキャン結果と自動的に照合され、該当する脆弱性が依存関係カテゴリのリスクとして自動登録されます。

- 重大度はCVSSスコアから自動判定されます（9.0以上で「緊急」、7.0以上で「高」、4.0以上で「中」、0.1以上で「低」）

- 同じプロダクトに対するリスクは1件に集約され、新しいCVEが見つかるたびに関連CVE一覧へ追加されます

- 後からより深刻なCVEが検出された場合のみ重大度が引き上げられます。タイトルや説明文をチームで書き換えていても上書きされません

- 関連CVEはNVDへのリンク付きで表示されます

依存パッケージの脆弱性を、人手を介さずリスク台帳へ載せ続けられます。

5. 変更履歴の記録

重大度やステータスをはじめとする各項目の変更、インシデント・サービスの紐付け操作は、すべて監査ログとして記録されます。リスク詳細画面の「変更履歴」で、いつ誰が何を変えたかをタイムラインで確認できます。

「このリスクはいつ受容判断されたのか」を後から追跡できるため、監査対応の証跡としても利用いただけます。

6. Public APIからの操作

リスクマップはPublic APIにも対応しています。CI/CDやセキュリティスキャナなど、外部のツールから自動でリスクを起票する運用が可能です。

| 操作 | エンドポイント |

| --- | --- |

| 一覧取得 | GET /v1/risks |

| 作成 | POST /v1/risks |

| 個別取得 | GET /v1/risks/{id} |

| 更新 | PATCH /v1/risks/{id} |

| インシデント紐付け | POST /v1/risks/{id}/link-incident |

権限について

管理者・メンバーはリスクの作成・編集・削除・紐付けが可能です。閲覧者ロールのユーザーには閲覧専用の画面が表示され、編集系の操作は表示されません。

はじめかた

1. サイドバーの「リスクマップ」を開きます

2. まずは「潜在リスクを特定」を実行し、過去のインシデントからリスク候補を洗い出すのがおすすめです

3. 洗い出したリスクに、関連するCMDBサービスとインシデントを紐付けます

4. 依存関係の脆弱性を自動で拾いたい場合は、CMDBサービスに tech:<プロダクト名> タグを設定してください