# データ漏えい監査で見つかるもの

ある **データ漏えい監査** AikidoのコードベースDSPMです。APIやORMモデルから、ロギング、キュー、サードパーティ連携、AIワークフローに至るまで、機微データがどのようにアプリケーションに入り、移動し、保存され、出ていくかを推論します。データベースやクラウドのデータストアに接続する必要はありません。各検出結果にはコードベースの **証拠**。 [進捗と検出結果を追跡する](https://help.aikidogov.us/docs/docs-ja/ai-code-analysis/ai-code-audit-overview/track-progress-and-findings) その読み方について。

従来のDSPMとの違いについては、 [データ漏えい監査（DSPM）](https://help.aikidogov.us/docs/docs-ja/ai-code-analysis/what-is-dspm)。監査を実行するには、 [データ漏えい監査を実行する](https://help.aikidogov.us/docs/docs-ja/ai-code-analysis/what-is-dspm/data-exposure-audit).

## カバレッジの概要

Data Exposure Auditは、コード内での機微データの取り扱いに重点を置き、以下を含みます：

* **平文保存および弱い保存**：秘密、トークン、または規制対象の個人データ（PII、PHI、支払カードデータ）が暗号化なしで保存されている、あるいはMD5、SHA-1、base64のような弱い代替手段を暗号化として扱っている状態。
* **URL内の認証情報**：トークン、パスワード、またはAPIキーがクローンURL、クエリ文字列、リダイレクト、その他のリクエストパスに埋め込まれ、ログ、プロキシ、ブラウザ履歴を通じて漏えいしうる状態。
* **APIの過剰公開**：必要以上に広く機微フィールドが返されており、データアクセス時のフィールドレベルまたはテナント所有権チェックが欠けている状態。
* **安全でないロギング、キャッシュ、エクスポート**：アプリケーションログ、トレース、キャッシュ、ダンプ、またはデータエクスポート経路に、マスクされていないPIIや秘密情報が含まれている状態。
* **範囲が広すぎるサードパーティおよびAIへの共有**：顧客データや秘密情報が、必要以上にベンダー、分析ツール、サポートツール、LLMプロンプト、またはベクターストアへ送信される状態。
* **不完全なデータ削除**：ユーザーや保持ポリシーが削除を想定しているにもかかわらず、下流のレコード、キャッシュ、または関連ストアがそのまま残る削除フロー。
* **シャドーデータと脆弱なバックアップ**：機微データの意図しないコピー（ステージング復元、スナップショット、補助ストア）や、十分な保護やマスキングのないバックアップ／スナップショット経路。
* **過剰な権限のアクセス**：コードが必要とする以上のデータアクセスを許可するクラウドIAMロールやサードパーティOAuthスコープ。
* **認証なしまたは監査されていないデータストア**：認証なしでデータストアにアクセスできる、または機微データを保持するストアで監査ログが無効になっている状態。
* **IDおよび送信元の露出**：アカウントやIDの列挙リスク、および機微なフローに紐づく送信元IPや同様の識別子の不要な露出。

## 対象となるデータ種別

検出結果には、コードが扱うあらゆる機微データが含まれ得ます。たとえば：

* 個人を特定できる情報（PII）
* 保護対象健康情報（PHI）
* 決済カードおよび金融データ（PCI）
* 秘密情報、トークン、認証情報
* 顧客コンテンツおよび業務データ
* AIプロンプト、埋め込み、または関連ワークフローに渡されるデータ

## 従来のDSPMが見る範囲を超えて

従来のDSPMは、機微データがストア内に存在することを知らせることが多いだけです。Data Exposure Auditは、その露出を生み出したコードパスまで結び付けるため、保存先、リスク、そしてそのまま適用できる修正案が得られます：

* **PIIを漏えいするロギング**：たとえば、チェックアウト経路が請求オブジェクト全体（メール、電話番号、住所、カード下4桁）をオブザーバビリティスタックにログ出力してしまうケースです。対策は、それらのフィールドをマスクし、IDとエラーコードだけを残すことです。
* **エンドツーエンドのトークン取り扱いミス**：トークンがどこから入るか（OAuth、GitHub App、PAT）、どのスコープを持つか、どこに保存またはキャッシュされるか、URLに埋め込まれていないか、ログ、トレース、エラー、プロセス引数を通じて漏えいし得るか、を確認します。
* **過剰共有するAPIレスポンス**：対応する認可チェックなしに、呼び出し元が見るべきよりも多くの機微フィールドを返すシリアライザやハンドラ。
* **AIおよびベンダーパイプライン**：最小化せずに顧客データをサードパーティやLLMのワークフローへ取り込むプロンプトや連携。

## 代替しないもの

Data Exposure Auditはソースから推論します **ソース**。ライブのデータストアには接続しないため、従来のDSPMのように、バケット、ウェアハウス、SaaSアプリにすでに置かれているものを一覧化することはありません。アプリケーションがデータをどのように公開しているかを見つけて修正するために使い、保存データ全体の棚卸しが必要なときは、クラウドやストレージのレビューと組み合わせてください。

また、～の代替でもありません [コードセキュリティ監査](https://help.aikidogov.us/docs/docs-ja/ai-code-analysis/ai-code-audit-overview/what-ai-code-audit-finds) またはライブの [Aikido Pentest](https://help.aikidogov.us/docs/docs-ja/pentests/aikido-pentest)。それらは脆弱性クラスと実行時の悪用可能性を対象とし、Data Exposure Auditはコード内での機微データの取り扱いと露出経路に重点を置きます。

## FAQ

### 始める前に、対象範囲を確認してもらえますか？

はい。 [サポートに問い合わせる](https://help.aikidogov.us/docs/docs-ja/miscellaneous-info/contact-support) クレジットを消費する前に、特定のデータ型、フレームワーク、または検出クラスを確認するために。

## 関連

{% content-ref url="./" %}
[データ漏えい監査（DSPM）](https://help.aikidogov.us/docs/docs-ja/ai-code-analysis/what-is-dspm)
{% endcontent-ref %}