Harness（ハーネス）は、ソフトウェア開発ライフサイクル全体にわたる自動ガバナンスを簡素化することを目的とした、事前に作成されたRegoポリシーの厳選ライブラリーである「Policy Packs」という新製品を発表した。同社は、このパックを既存のOPAベースのPolicy as Code機能の拡張機能として位置付け、セキュリティーおよびガバナンスチームや開発者がゼロから始める際に直面する設定の負担を軽減することを目指している。
Harnessは、ポリシーパックを、SDLC活動を広く利用されているコンプライアンスフレームワークに整合させる、すぐに使えるポリシーテンプレートであると説明した。このパックにより、複雑なRegoコードをゼロから作成・保守する必要がなくなり、チームは最小限のカスタマイズで業界標準のガードレールを採用し、ポリシー開発ではなく機能提供に集中できるようになるという。
この取り組みは、監査担当者が通常重視するキーフレームワークを網羅していると説明された。SOC 2については、ピアレビューによるプルリクエストや自動化された変更管理ゲートなどのプラクティスを強制するパックが用意されているとのことだ。NISTについては、SP 800-53および800-171コントロールを対象とし、自動ソフトウェア部品表（SBOM）生成とSLSA来歴を通じて、構成管理、システム整合性、サプライチェーンリスクに対処するとされている。決済カードデータを扱う組織向けには、PCI DSSポリシーがシークレット管理、ネットワークセグメンテーション、および必須の脆弱性パッチ適用を強制すると説明された。医療環境向けには、HIPAAおよびHITRUSTパックが、自動データ漏洩防止とセキュアなAPI監視を提供するとされている。
Harnessは、フレームワーク制御ドメインとDevOps実装間の具体的なマッピング、およびポリシーが生成するOPA/Rego証拠の形式について概説した。例としては、CI/CDパイプラインでのポリシーチェック、NIST構成管理のためのIaC検証、リソースタグの欠落、未承認リージョン、安全でないデフォルトなど、承認されたベースラインに違反するインフラストラクチャー変更を拒否するRegoルールなどが挙げられる。アクセス制御ルールは、過剰な権限を作成するデプロイメントを防止し、承認されたIAMロールを要求し、パブリックにアクセス可能なリソースをブロックするように説明された。SOC 2変更管理のカバレッジは、プルリクエストレビュー、保護されたブランチ、CI/CD承認ゲート、デプロイメントトレーサビリティーを中心に構成され、Regoポリシーは、リリース前にピア承認、リンクされたチケット、パイプラインチェックの成功、および必要なメタデータを検証する。
その他に挙げられたマッピングには、API認証と監査ログに関するHIPAA要件、自動依存関係およびイメージスキャンに関するPCI DSS要件、自動インベントリーとIaCガバナンスによるISO/IEC 27001資産管理、特権コンテナの無効化や開いているセキュリティーグループのクローズなどのセキュアな構成に関するCISコントロールの適用などが含まれていた。Harnessは、これらのポリシーによって、GRCチームや監査担当者に適した改ざん不可能な技術的証拠が生成されることを強調した。
製品発表では、DevOpsにおける一般的なコンプライアンス上の課題についても取り上げられた。Harnessは、チームが継続的なチェックなしに一貫したパイプラインのセキュリティーを証明するのに苦労する「監査対応」の盲点や、デリバリーを遅らせコンプライアンス疲れを引き起こす可能性のある手動承認のボトルネックを指摘した。ポリシーパックは、ガバナンスをシフトレフトする方法として提示され、自動化されたコンプライアンスチェックをCI/CDパイプラインに組み込むことで、特定の時点の監査としてではなく、コミットごとに検証が行われるようになる。
ある使用例では、現代のDevOpsワークフローにおいて、職務分掌の要件をどう強制できるかが説明された。このポリシーでは、コミット作成者のIDとデプロイメント承認者のIDを比較し、両者のIDが一致した場合にデプロイメントを自動的にブロックすることで、手動による介入なしに本番環境の変更に対する独立したピアレビューを保証する。
Harnessは、このパッケージに関連するいくつかの運用上のメリットを強調した。保存、実行、パイプラインの各ステップでポリシーを適用することで違反を早期に発見できること、ビルド、スキャン、承認を保存する証拠保管庫によって監査対応を迅速化できること、ポリシーをフレームワークのコントロールに直接マッピングすることで法的リスクと監査リスクを軽減できることなどがメリットとして挙げられる。同社はさらに、このフレームワークはCI、CD、機能管理、クラウド＆ AIコスト管理といったモジュール全体をカバーすることを目指していると述べた。
導入を促進するため、Harnessはポリシーパックのリポジトリーを紹介し、OPA RegoポリシーのネイティブGit統合について説明した。これにより、チームはポリシーをフォークしてアカウントにインポートできる。
出典：Harness
この製品の詳細については、Harness製品ページをご覧ください。
