Security Risk チーム

ミッションステートメント

GitLab における Security Risk Team のミッションは、セキュリティおよびテクノロジーリスクの先見的な特定、モニタリング、優先順位付け、レポートを通じて、各チームが情報に基づくインテリジェントな 意思決定を行えるようにエンパワーすることで、GitLab のセキュリティおよびテクノロジーリスク対応を推進することです。

バリュープロポジション

私たちは、徹底した、コラボレーティブで、効率的なリスク評価を実施し、リスク削減を推進することで、GitLab が高いレベルのセキュリティを維持しながら目標を達成できるようにします。

コアコンピテンシー

セキュリティおよびテクノロジーのリスク管理

Security Risk チームは、セキュリティおよびテクノロジーのオペレーショナルリスク管理（STORM）、私たちの ISO42001 認証を支える AI リスク管理、統合セキュリティリスク管理（USRM）などのリスク管理サービスを提供します。これらのプログラムは、組織全体でセキュリティおよびテクノロジーリスクの特定、評価、継続的なモニタリング、報告を推進します。リスク削減は、Security Division の運営原則の 1 つです（セキュリティのビジョンとミッション）。そのため、Security Risk Team は、リーダーシップが戦略的ロードマップを策定し、GitLab の主要イニシアチブ（社内のみ）を支えるために必要な情報を提供するうえで主導的な役割を果たします。

サードパーティのセキュリティリスク管理（TPRM）

GitLab は、AI による自動化と継続的なセキュリティモニタリングを通じて、外部関係者と共有される GitLab データのセキュリティを検証する、業界をリードするサードパーティリスク管理（TPRM）の取り組みを維持しています。ベンダーのオンボーディングの一環として、チームは導入後チェックリスト（PIC）の実施を促進し、ベンダーとの取引が開始された際に、合意されたセキュリティコントロールが導入されていることを確認します。ベンダー調達フローに TPRM プログラムをシームレスに統合することで、Privacy、Legal、IT、People Operations 間の部門横断的なコラボレーションを可能にし、透明性のあるデータに基づく意思決定、ビジネスとステークホルダーを重視した成果、GitLab の規制上の義務およびコンプライアンス義務の遵守を促進します。このプログラムを通じて維持されるベンダーとの関係を活用し、組織全体の効率を高めます。

資産インベントリの支援

完全かつ正確な資産インベントリの確立は、GitLab のリスクプログラムを成功させる鍵です。Security Risk Team は Business Technology と連携し、Tech Stackの監督と正確性を維持します。ビジネス影響分析（BIA）は、GitLab のお客様にサービスを提供するうえで重要なシステムを特定するのに役立ちます。BIA の結果に基づき、Security Risk Team は新しいシステムに重要システム階層（CST）を指定します。

運営モデル

コアプロセス

エンゲージメントモデル

1. セキュリティまたはテクノロジーリスクの報告
2. GitLab で @gitlab-com/gl-security/security-assurance/security-risk-team を使用して GitLab 全体のチームをタグ付けする

コミュニケーションチャンネル

1. メール: [email protected]
2. Slack: #security_help チャンネル - @security-risk をメンション
3. GitLab: GitLab で @gitlab-com/gl-security/security-assurance/security-risk-team を使用して GitLab 全体のチームをタグ付けする

チームメンバー

戦略的イニシアチブ

Security Risk Team は、リソースをリスク削減の推進に専念させるために、定期的な計画と優先順位付けを実施しています。これには、リスク対応の促進や、該当する場合のコントロール設計と実装の所有権の引き受けが含まれます。Security Risk が関与する機能横断的な取り組みに関する更新については、GitLab Operating Modelを参照してください。

レビューとアップデート

このチャーターは、以下との整合性を確保するために、四半期ごとにレビューおよび更新されます。

1. GitLab の戦略
2. Security Division のミッションとビジョン
3. Security の複数年戦略 (社内のみ)
4. Security Assurance のミッションとビジョン
5. Security Assurance の複数年戦略 (社内のみ)

ページのソースコードを見る - ページの編集 - please contribute.