脆弱性管理の仕組みを整えた

はじめに こんにちは、Dress Code 株式会社でプロダクトエンジニアをやっている津田です。 以前、SOC2 Type1 取得に向けてやったことを整理した記事を投稿しました。 引き続き、プロダクトセキュリティを見ており、社内の協力もあって SOC2 Type2 の継続審査も終えることができました。 今回は、今後の継続審査に向けて、脆弱性を管理する仕組みを整えたので書いてみます。 特に、これからプロダクトの脆弱性管理の仕組みを用意しようとしている方や、すでにある対策を一連の運用として見直したい方の参考になればと思っています。 何を管理の対象にし、どのような方法で継続的に検知するか 検知したものを誰が判断し、普段の開発やリリースにどう載せるか 判断や修復の記録をどこに残し、何をもって対応完了とするか こうしたことを自分たちの現場で決める際に、何か一つでも材料になれば幸いです。 背景 弊社は