Hacktron が Nopan の決済インフラのすべての変更に、コンテキストを踏まえたセキュリティレビューをもたらす方法

「決済の世界では、すべてのプルリクエストがリスクの判断です。」

「Hacktron はエンジニアと並んで常時稼働する AI 主導のセキュリティレビューを提供してくれるので、一人のレビュアーがそのリスクを抱え込むことなく、スピードを落とさずにリリースを続けられます。」

Nick Ryabov
CTO

Nopan について

Nopan は、加盟店、フィンテック企業、PSP が口座決済とウォレット決済を導入、最適化、拡大し、コンバージョンと効率を高めて収益を伸ばせるよう支援するパフォーマンスプラットフォームです。

同社の顧客のエンジニアリング、決済、財務、オペレーションの各チームは、取引を確実に処理し続け、すべての支払いを可視化し、資金を正しく照合するために Nopan を頼りにしています。

課題：デリバリーのペースに見合うレビューの深さ

Nopan のエンジニアは継続的にリリースしています。すべての変更は、本番環境に到達する前に、ピアレビューと、テストやセキュリティスキャンを含む自動チェックを経ます。AI 支援開発の活用とともにコードの量と複雑さが増すにつれ、Nopan はセキュリティレビューの深さもそのペースに合わせる必要がありました。

「レビューの深さを、そのペースに合わせて拡張したいと考えていました。」

「つまり、ノイズを生んだり形だけの承認になったりするチェックをもう一つ増やすのではなく、すべてのプルリクエストに対して、コンテキストを踏まえた有用なシグナルを加えられるものを見つけるということです。」

Nick Ryabov
CTO

Hacktron の役割：具体的でノイズの少ない検出結果

Nopan に必要だったのは、汎用的なアラートの流れをもう一つ増やすことなく、増え続けるコード量に合わせて拡張できるセキュリティレビューでした。Hacktron は、レビュー対象のコードに結びついた、コンテキストを踏まえた検出結果を提供し、エンジニアがそれぞれのリスクを評価して対処するのに十分な詳細を伝えます。

「オオカミ少年のように誤報を繰り返したり、誰かが時間をかけて読み解かなければならない汎用的な警告を出したりするツールは、無視されるようになります。」

「Hacktron は具体性によって信頼を得ました。その指摘は該当するコードパスを示し、エンジニアが対処できるほど明確にリスクを説明してくれます。」

Nick Ryabov
CTO

コンテキスト付きのセキュリティ検出結果

Hacktron の指摘は、人間のレビュアーのコメントと並んでプルリクエストに直接表示され、関連するコードのコンテキストの中で問題を示します。Hacktron は、自動スキャナーや人間のレビューが見逃しかねない複雑な脆弱性に対して、コードベースを理解したうえでのカバレッジを加えます。

「[Hacktron] は、ピアレビューや既存のチェックに取って代わるものではありません。」

「それらと並んで各変更をレビューし、複雑で一見わかりにくいシナリオのリスクを提示して、自動スキャナーや人間のレビューとは別の視点を加えてくれます。」

Nick Ryabov
CTO

結果：コード量に合わせて拡張する常時稼働のカバレッジ

Nopan にとって、すべてのプルリクエストは、資金を動かし、その記録を管理するインフラに影響を与える可能性があります。Hacktron はすべての変更にコンテキストを踏まえたセキュリティレビューを適用し、Nopan がコード量の増加に合わせて一貫したカバレッジを維持できるよう支援しています。

「Hacktron は追加のレイヤーであって、ピアレビュー、自動テスト、静的解析、依存関係スキャンの代わりではありません。」

「Hacktron が加えてくれるのは、すべてのプルリクエストに適用される、常時稼働でコンテキストを踏まえたセキュリティレビューです。コード量が増えても、カバレッジを一貫して保てます。」

Nick Ryabov
CTO

Hacktron によって、Nopan は決済を支えるコード全体に、常時稼働でコンテキストを踏まえたセキュリティレビューを適用しています。そのカバレッジは、リリースが増えるほど拡張していきます。