JFrog推出AppTrust自動化治理方案，確保應用程式可信交付

JFrog發布AppTrust，為JFrog平臺內建的應用程式風險治理解決方案，目標是對快速交付與日益嚴格的法遵要求，提供可稽核、可重複的發布管控。AppTrust主打以證據為基礎的政策檢核點（Policy Gate），將安全、治理與法遵串接進軟體生命周期。當軟體版本滿足所有政策後可授予Trusted Release標章，並在上線後持續監控新出現的弱點，維持信任狀態。

JFrog表示，不少企業，安全、開發與法遵各用一套工具，卻缺少能夠以應用程式為主軸，整合各團隊資訊的共同基礎。AppTrust以JFrog平臺Artifactory構件庫為單一事實來源，將軟體資產、構件與依存關係映射至特定應用，建立清楚的擁有者與業務脈絡。系統提供包含SBOM、版本演進時間軸與關鍵操作紀錄的統一資訊總覽，讓團隊在同一介面檢視安全與法遵狀態，降低跨系統查證成本。

AppTrust可蒐集多元來源的證據，包含JFrog自家掃描結果、第三方的輸出與參考設計，以及企業自定義的檢查。這些證據對應到明確的政策檢核點，並設定在最早可行階段即發出警示，或延後到適合的研發節點再檢核，以兼顧釋出節奏與風險控管。合作生態目前涵蓋GitHub、ServiceNow與Sonar等常見工具，缺證據或不符政策時會觸發提示，要求補齊或調整流程。

當軟體版本通過所有政策檢核點後，會被AppTrust標記為Trusted Release，代表該版本符合組織定義的安全、法遵、品質與效能門檻，可作為對內外部稽核的證據。進入生產後，系統持續匯整JFrog各掃描器的結果，改以應用為中心呈現新發現的CVE與受影響範圍，提供具上下文的修復路徑，避免開發與資安各自為政。

AppTrust從建立新版本到生產環境、由誰在何時做了哪些動作，逐一留下帶有時間戳與操作者的紀錄，形成可追溯的稽核鏈。這種以應用為單位的可見性，有助於在修復優先序、SLA遵循以及DORA等效能指標上做出一致、可驗證的決策。同時，企業可把法遵與治理要求落到日常工作管線，將能否釋出的決定，轉化成政策與證據驅動的系統化流程，降低人工稽核負擔。