IBM watsonxテクノロジーをベースとするIBM Concertは、アプリケーションの管理とオペレーションを最適化するために設計されたソリューションです。この製品を担当する開発チームは、製品コード内のセキュリティー・リスクを軽減するというIBMの厳しい要件を満たしながら、製品をGeneral Availability（GA）として提供するというプレッシャーにさらされていました。

開発と並行して、セキュリティー・アセスメント・ツールがコードをスキャンし、数百または数千件の共通脆弱性識別子（CVE）リストを生成するというのは、世界中の製品開発チームにとってよくある課題です。ほとんどのCVEはクリティカルではないものの、リストをふるいにかけ、修復に優先順位を付ける作業は、開発を大幅に遅らせる可能性があります。また、開発サイクルの後半までクリティカルな問題が見つからない場合、再構築や再テストに多くの時間を費やす可能性があります。したがって、製品の準備状況、そして最終的な収益は、適切なCVE管理と結びついています。

幸いなことに、Concert開発チームにとって革新的なソリューションが目の前にありました。Concertがサポートする中核となるユースケースの1つはCVE管理の合理化です。そのため、製品の開発者自身が初めてこの製品に満足した顧客となりました。

開発チームはConcertを使用して、CVEを管理するためのよりスマートで合理化されたアプローチを作成しました。これまで、チームは優先度スコアを含むCVEの一意のリストを生成する2つのサードパーティー・セキュリティー・アセスメントツールに依存していました。その後、チームは2つのリストを手動で分析して相関させ、その後IBM最高情報セキュリティー責任者（CISO）のオフィスと連絡を取り、優先順位について合意します。

現在、サードパーティー・ツールからのデータはConcertに供給され、Concertはよりインテリジェントな優先順位付けを行い、統一されたCVEリストを作成します。このソフトウェアの基礎となるAIは、各CVEが接続やエントリーポイントを含むアプリケーションの環境全体とどのように関連しているかを分析し、これを考慮して優先順位を付けます。

CVEと優先度スコアもグラフィカル・マップ上に表示されるため、開発者は各CVEがアプリケーションとどのように関連しているのか、最初に作業が必要な場所を素早く把握することができます。IBMのQAおよびセキュリティーおよびリリース・エンジニアリング担当プログラム・ディレクターのMahesh Dashora氏は次のように述べています。「Concertは他のスキャン・ツールよりも優れています。エクスポージャーに関する洞察が深まることで、重要な項目をより迅速に解決できるようになりました。」

また、チームは次のようなConcertのメリットも受けることができました。

• Concertは重複するCVEを表面化させるため、チームは1つの修復で複数の場所の問題を修正できます。
  
  
• Concertは、CVE、優先スコア、サポート・コンテキストを明確に表示するダッシュボードを提供し、CISOのオフィスと効率的に連携できるようにします。
  
  
• ConcertはGitHubと統合できるため、修復の詳細が記載されたサービスチケットを迅速に作成でき、修正プログラムにかかる時間を短縮できます。
  
  
• Concert は、CVEに関するすべての決定を文書化するための証拠ストアを提供し、監査の準備をサポートします。