> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/ai-kdo/what-is-dspm/what-data-exposure-audit-finds.md).

# データ露出監査で見つかるもの

A **データ露出監査** Aikido のコードベースDSPMです。機微データがどのようにアプリケーションに入り、移動し、保存され、外へ出ていくかを、APIやORMモデルからログ、キュー、サードパーティ連携、AIワークフローまで考慮します。データベースやクラウドのデータストアを接続する必要はありません。各指摘にはコードベースの **証拠**。参照: [進捗と指摘を追跡](/docs/docs-ja/ai-kdo/ai-code-audit-overview/track-progress-and-findings.md) の読み方は

従来のDSPMとの違いについては、 [Data Exposure Audit（DSPM）](/docs/docs-ja/ai-kdo/what-is-dspm.md). 監査の実行方法は、 [Data Exposure Audit を実行する](/docs/docs-ja/ai-kdo/what-is-dspm/data-exposure-audit.md).

## 対応範囲の概要

Data Exposure Audit は、コード内の機微データの取り扱いに焦点を当てます。対象には次が含まれます：

* **平文および弱い保存**: 秘密情報、トークン、または規制対象の個人データ（PII、PHI、決済カードデータ）が暗号化されずに保存されている、あるいは MD5、SHA-1、base64 を暗号化として扱うような弱い代替手段で保存されている状態。
* **URL内の認証情報**: クローンURL、クエリ文字列、リダイレクト、その他のリクエストパスに埋め込まれたトークン、パスワード、APIキー。ログ、プロキシ、ブラウザ履歴を通じて漏えいする可能性があります。
* **APIの過剰公開**: 必要以上に広く返される機微フィールド、またデータアクセスに対するフィールド単位やテナント所有権のチェック漏れ。
* **安全でないログ記録、キャッシュ、エクスポート**: アプリケーションログ、トレース、キャッシュ、ダンプ、またはデータエクスポート経路にある、マスクされていない PII や秘密情報。
* **過度に広範なサードパーティおよび AI 共有**: 必要以上に、ベンダー、分析ツール、サポートツール、LLM プロンプト、ベクターストアへ送られる顧客データや秘密情報。
* **不完全なデータ削除**: ユーザーや保持ポリシーが削除を想定しているにもかかわらず、下流のレコード、キャッシュ、関連ストアを残したままの削除フロー。
* **シャドーデータと脆弱なバックアップ**: 意図しない機微データの複製（ステージング復元、スナップショット、サイドストア）や、適切な保護やマスキングのないバックアップ／スナップショット経路。
* **過剰権限のアクセス**: コードが必要とする以上のデータアクセス権を与えるクラウド IAM ロールやサードパーティ OAuth スコープ。
* **認証されていない、または監査されていないデータストア**: 認証なしでアクセスできるデータストア、または機微データを保持するストアで監査ログが無効になっている状態。
* **IDと送信元の露出**: アカウントやIDの列挙リスク、そして機微なフローに関連する送信元IPや同様の識別子の不要な露出。

## 対象となるデータ型

指摘は、コードが扱うあらゆる機微データに関わる可能性があります。例えば：

* 個人識別情報（PII）
* 保護対象医療情報（PHI）
* 決済カードおよび金融データ（PCI）
* 秘密情報、トークン、認証情報
* 顧客コンテンツおよびビジネスデータ
* AIプロンプト、埋め込み、または関連ワークフローに渡されるデータ

## 従来のDSPMが見る範囲を超えて

従来のDSPMは、多くの場合、ストアに機微データが存在することを知らせるだけです。Data Exposure Audit は、その露出を生み出したコードパスまでたどり返し、行き先、リスク、そしてすぐに適用できる修正を示します：

* **PII を漏らすログ**: たとえば、チェックアウトの経路が請求情報全体（メール、電話番号、住所、カード下4桁）を可観測性スタックにログ出力している場合。対策は、これらのフィールドをマスクし、ID とエラーコードだけを残すことです。
* **トークンの扱いの不備をエンドツーエンドで**: トークンがどこから入ってくるか（OAuth、GitHub App、PAT）、どのスコープを持つか、どこに保存またはキャッシュされるか、URLに埋め込まれているか、ログ、トレース、エラー、またはプロセス引数から漏れる可能性があるか。
* **情報を出しすぎる API レスポンス**: 呼び出し元が見るべきでない機微フィールドを、対応する認可チェックなしに返してしまうシリアライザやハンドラ。
* **AIおよびベンダーパイプライン**: 顧客データを最小化せずにサードパーティや LLM のワークフローへ取り込むプロンプトや連携。

## 代替しないもの

Data Exposure Audit は、 **ソース**. ライブのデータストアには接続しないため、従来のDSPMのように、バケット、データウェアハウス、SaaS アプリに既に置かれているものを棚卸しすることはありません。アプリケーションがデータをどのように露出しているかを見つけて修正するために使い、保存データを資産全体で棚卸ししたいときは、クラウドやストレージのレビューと組み合わせてください。

また、～の代替でもありません [コードセキュリティ監査](/docs/docs-ja/ai-kdo/ai-code-audit-overview/what-ai-code-audit-finds.md) やライブの [Aikido Pentest](/docs/docs-ja/pentesuto/aikido-pentest.md). それらは脆弱性の種類や実行時の悪用可能性を対象とし、Data Exposure Audit はコード内の機微データの取り扱いと露出経路に焦点を当てます。

## 対象範囲に含まれるか不明ですか？

開く **Intercom チャット** 右下隅の。私たちのチームが、特定のデータ型、フレームワーク、または指摘クラスが対象かどうかを、クレジットを使う前に確認できます。


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://help.aikido.dev/docs/docs-ja/ai-kdo/what-is-dspm/what-data-exposure-audit-finds.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.