ROCKESTA

Operations

作って終わりにしない、改善運用

ロケスタが構築するシステムには、セキュリティと運用の自動点検が標準で組み込まれています。システムは納品した日から古くなり始めます。脆弱性・クラウドの構成・エラー・コードの変更を AI が決まった周期で見回り、見つけた問題を期限つきで直し続けることで、納品した後も安全な状態を保ちます。

改善のサイクル

4 つの仕組みは、このサイクルを回すためにあります。見つけた問題は、直ったことを確かめるまで追いかけます。

  1. STEP 01

    見つける

    公的機関・Google Cloud の新しい情報を、実際に動いているシステムの中身とAIが毎日照合

  2. STEP 02

    判断する

    影響があるものだけを選び、深刻度に応じた優先度と修正期限をつける

  3. STEP 03

    直す

    修正はAIレビュー・自動テスト・シークレット検査を通してから本番へ

  4. STEP 04

    確かめる

    本番で直ったことを確認して記録。脆弱性の対応実績は毎朝集計して公開

脆弱性情報を常時巡回中最終巡回 10/25 07:15実績は毎朝自動で集計

9 件

巡回している情報源

100.0%

直近30日の巡回の成功率

90 件

脆弱性の修正を確認した件数（直近12か月）

82.8%

修正期限のある対応のうち、期限内に修正した割合（期限内 72 件）

2.3 日

検知から修正の確認までの日数（中央値・直近12か月）

巡回している情報源

公的機関
  • IPA 重要なセキュリティ情報
  • JPCERT/CC 注意喚起
  • JPCERT/CC・IPA JVN（Japan Vulnerability Notes）
  • CISA Known Exploited Vulnerabilities Catalog
データベース
  • endoflife.date
ベンダー
  • OpenJS Foundation Node.js セキュリティリリース
  • Google Cloud セキュリティ速報
  • GitHub Changelog
  • Cloudflare セキュリティ告知
脆弱性情報の巡回状況と対応の実績を見る

Vulnerability Watch

脆弱性の監視

公的機関とベンダーが出す脆弱性情報を巡回し、システムの中身と照合して、影響のあるものを修正まで追いかけます。

  • 15分ごと

    速報の巡回

    IPA・JPCERT/CC・JVN・CISA などの公的機関と主要ベンダーの発表を自動で巡回します。毎時・毎日の巡回で取りこぼしも拾い直します。

  • 毎日

    システムとの照合

    依存ライブラリ・実行環境の版・本番のコンテナイメージ・クラウドなどの基盤・サポート終了日まで、層ごとに照合します。

  • 期限つき

    修正の追跡

    影響があるものには深刻度に応じた修正期限をつけ、本番で直ったことを確認するまで追跡します。期限内に直せた割合も毎朝集計します。

Cloud Advisor

Google Cloud の構成点検

Google Cloud の新しい情報を、実際の環境とコードの在庫に突き合わせて、「もっと安全に・長く・安く動かす」ための改善点を提案します。

  • 毎日

    リリース情報の照合

    Google Cloud の公式リリースノートを毎日読み、実際に使っているサービス・AIモデル・ランタイムに関係するものだけを、期限と優先度つきの提案にします。

  • 毎日

    提供終了・サポート切れの先回り

    使っている AI モデルを公式の提供状況と、Node.js や Python などの版を開発元のサポート期限と照合し、終了の予告が出たら後継への移行を期限つきで提案します。

  • 毎日

    構成の改善

    実際の環境の設定をベストプラクティスに照らし、既定の権限のまま動くサービスや、外部から届く設定、公開されたままの権限などを見つけて直します。

  • 毎週

    Well-Architected の総点検

    Google Cloud の設計指針（Well-Architected Framework）の 6 つの柱（運用・セキュリティ・信頼性・コスト・パフォーマンス・持続可能性）と AI・ML の観点で、システムごとに全体を点検します。

Anomaly Detection

異常の検知

止まった・壊れた・漏れたを、お客様より先に見つけます。

  • 数分ごと

    外形監視

    システムが外から使える状態かを数分おきに確かめ、止まったらすぐに通知します。

  • 毎朝

    本番の横断チェック

    本番のエラーログ・デプロイの失敗・シークレットの漏えいを横断して集計し、新しいエラー・続くエラー・急増・止まった定期処理を AI が見つけて、原因の調査から修正まで進めます。

Quality Gate

変更ごとの品質ゲート

直すための変更そのものが、新しい問題を持ち込まないようにします。

  • 変更のたびに

    2 系統の AI コードレビュー

    変更は手元と提出後の 2 回、AI がレビューします。指摘がすべて解決されるまで本番に出しません。

  • 変更のたびに

    自動テストとシークレット検査

    自動テストがすべて通ること、パスワードや鍵が混ざっていないことを確かめてから取り込みます。

  • 自動

    依存パッケージの更新

    依存パッケージのセキュリティ更新は自動で取り込み、同じ品質ゲートを通してから本番に出します。

脆弱性を照合している層

巡回で集めた脆弱性情報を、当社が開発・運用するシステムの次の層と毎日照合しています（毎朝の集計から表示）。

ライブラリ
アプリが使う依存ライブラリ。OSV と GitHub Advisory Database の 2 系統で照合
ランタイム
Node.js などの実行環境の版。ベンダーのセキュリティリリースと照合
本番イメージの OS パッケージ
本番で動くコンテナイメージの OS パッケージ。スキャン結果と照合
基盤の告知
Cloud Run・Firebase・Cloudflare・GitHub などの基盤と、公的機関の注意喚起の文章を製品名で照合
サポート終了（EOL）
ランタイム・フレームワークのサポート終了日を確認

公開の方針

このページと「セキュリティ監視」に載せる数字は、自動で集計した結果だけです。お客様の名前・システムの構成・修正中の件数は、攻撃の手がかりになるため公開しません。セキュリティへの取り組みの全体は「情報セキュリティ基本方針」をご覧ください。

運用まで任せられるシステムを

ロケスタが構築するシステムには、この改善運用が最初から組み込まれています。

相談する