モバイルアプリケーションの審査
モバイルアプリケーションの審査（Mobile Application Vetting）により、組織はGoogle Play、Apple App Store、Huawei AppGalleryで利用可能なサードパーティ製モバイルアプリを評価し、従業員へのインストールやエンタープライズ導入を承認することができます。
各App Vettingレポートは、自動セキュリティスキャン、アプリストアのメタデータ、AI支援分析から算出された統一的かつ客観的なセキュリティとプライバシーの評価を提供します。
主なメリット
- 共有パブリック判定: 審査結果は組織間で共有されます。アプリケーションがすでに分析されている場合、再スキャンを実行することなく結果をすぐに確認できます。
- マルチプラットフォーム対応: Android、iOS、HarmonyOS アプリケーションをネイティブサポート。
- 客観的な0〜100のスコアリング: セキュリティ、プライバシー、運用管理の5つの核心次元にわたる標準化されたスコアリング。
- プライバシー保護: 内部組織のスキャンインフラや機密データを開示することなく、セキュリティの状況をまとめます。
App Vetting評価の検索とリクエスト
評価を表示またはリクエストするには:
- 左側のナビゲーションメニューから スキャン > App Vetting に移動します。
-
アプリケーションタイトル または パッケージ名 / Bundle ID（例:
com.example.app）を入力してアプリケーションを検索します。 -
アプリケーションがまだ審査されていない場合は、App Vettingスキャンをリクエスト をクリックします:
- ターゲットプラットフォーム（Android、iOS、または HarmonyOS）を選択します。
- 公式の パッケージ名 / Bundle ID を入力します。
- アプリケーションタイトル を入力し、送信 をクリックします。
バックグラウンドで自動セキュリティスキャンが起動され、App Vettingレポートが作成されます。
評価基準とスコアリングシステム
すべてのApp Vetting評価は、ターゲットのモバイルアプリケーションを 5つの核となる基準 で評価し、0（重大な懸念） から 100（優秀・安全） までのスコアと詳細な根拠を生成します:
| 評価基準 | 評価範囲 |
|---|---|
| セキュリティ | 安全でないデータストレージ、弱い暗号化、プレーンテキストネットワークトラフィック、エクスポートされたコンポーネント、インジェクションの欠陥、ハードコードされたシークレット、脆弱な依存関係など、技術的な脆弱性への露出を評価します。 |
| プライバシー | トラッキングSDK、過剰なデバイス権限、個人またはデバイス識別子の収集、潜在的な機密データ漏洩など、ユーザーデータの取り扱いを分析します。 |
| 安全性 / 悪意 | マルウェアやスパイウェアのインジケーター、欺瞞的な機能、C2（コマンド＆コントロール）動作、危険な機能の使用など、有害または悪質な動作を検出します。 |
| 採用度 | ダウンロード数とユーザー評価を使用して、ストアでの採用状況とコミュニティの信頼度を測定します。 |
| 保守性 | 更新の最近さとリリース周期に基づいて、開発者の保守アクティビティを評価します。 |
総合加重スコアの計算
総合的なApp Vettingスコアは、5つの基準すべての加重平均として計算されます:
- 安全性 / 悪意: 35%
- セキュリティ: 25%
- プライバシー: 20%
- 採用度: 10%
- 保守性: 10%
スコア範囲とリスク帯
App Vettingでは、レポートの最上位ステータスバナーと個々の基準スコアチップの両方に視覚的なカラーコードを使用します。
総合評価バナー
App Vettingレポートの最上位ステータスバナーは、総合的なリスクを 3つの主要な判定帯 に分類します:
| 総合スコア | バナーステータス | 色 | 推奨アクション |
|---|---|---|---|
| 70 - 100 | インストール可能（確認済み） | 緑 | 承認: 低リスク。エンタープライズ展開に安全です。 |
| 50 - 69 | 注意してインストール | オレンジ | 中程度のリスク: 中程度の深刻度の検出事項があります。セキュリティレビューを推奨します。 |
| 0 - 49 | インストール不可 | 赤 | 高リスク: 重大なセキュリティ脆弱性または悪質動作が検出されました。インストールしないでください。 |
基準スコア範囲とバッジ
個々の基準スコアとテーブルバッジは 4つのスコア帯 にマッピングされます:
| スコア範囲 | UIバッジ | 定格レベル | 範囲 |
|---|---|---|---|
| 90 - 100 | 緑 | 優秀 (Excellent) | 非常に優れたセキュリティ、プライバシー、および保守の状況。 |
| 70 - 89 | 青 | 良好 (Good) | 軽微な低リスクの観察事項を含む堅牢な全体状況。 |
| 50 - 69 | オレンジ | 中程度 (Moderate) | 注意または設定強化が必要な中程度のリスク領域。 |
| 0 - 49 | 赤 | 不良 / 深刻 (Poor) | 高リスクまたは重大な脆弱性の検出事項。 |
評価ステータスのライフサイクル
App Vetting評価は、そのライフサイクル中に以下のステータス状態を遷移します:
- 保留中 (Pending): スキャンリクエストが処理キューに入っています。
- スキャン中 (Scanning): 自動モバイルセキュリティスキャンが実行中です。
- スコア済み (Scored): 分析が完了し、基準スコアが公開されています。
- 失敗 (Failed): スキャンまたはスコアリングプロセスでエラーが発生したため、再実行が必要です。
詳細な監査検出事項の確認
任意のアプリケーションをクリックすると、完全な App Vettingレポート が開きます:
- ヘッダーとストアメタデータ: ストア評価、年齢制限（例: PEGI 3 / 4+）、国、価格、最終更新日を表示します。
- 詳細な監査パネル: 個々の基準（セキュリティ監査、プライバシー監査、マルウェアサンドボックス、信頼と採用度、保守性）を展開して、具体的な検出事項、深刻度評価、AI生成の根拠を確認します。
App Vettingレポートの共有
App Vetting評価を外部ベンダー、監査人、またはチームメンバーと共有できます:
- 対象のApp Vettingレポートを開きます。
- 上部のアクションバーで レポートを共有 または 完全なスキャンを表示 をクリックします。
- 生成された安全な共有リンクをコピーします。
共有アクセスリンクを使用すると、外部レビュー担当者は組織メンバーシップを必要とせず、機密性の高い内部インフラを開示することなく、セキュリティ評価を安全に検査できます。