Reach Security Series B、自律防御を後押しするも信頼が試金石

Reach Securityは5,000万ドル超を調達し、さらに大きな約束を掲げた。企業の防御は、制御を手放すことなくマシンスピードで運用できるという。

Reach Security Series BはTop Tier Capital Partnersが主導した。Ballistic Ventures、In-Q-Tel、M12、Microsoft’s Venture Fund、既存投資家も参加した。サンフランシスコの同社は10月13日、企業内の他システムへライブのセキュリティ制御データを配信する製品拡張Reach Everywhereとともに、この資金調達を発表した。

この資金調達が重要なのは、Reachが脆弱性を見つけるための単なる新しいダッシュボードを販売しているわけではないためだ。同社はAIで既存の防御を調査し、露出した攻撃経路を特定し、攻撃者に悪用される前に制御を調整しようとしている。これは、エクスポージャー管理の多くを依然として規定しているアラート優先モデルに対抗する位置付けとなる。

したがって中心的な問いは、AIがより多くのセキュリティ問題を発見できるかどうかではない。企業がAIシステムに本番環境の防御を変更することを託すのか、そしてReachがその信頼を正当化できるほど確実に変更を検証できるのか、である。

Reach Security Series Bはより大きな運用上の役割に資金を投じる

このラウンドによりReachは、セキュリティ分析から、防御上の判断が実行に移されるシステムへと進出するための資源を得る。

Top Tier Capital Partnersが資金調達を主導し、戦略的投資家と機関投資家がこれを支援した。同社はこの資本を、製品開発、統合パートナーシップ、海外展開、米国のエンタープライズ市場および連邦市場での成長に充てる計画だ。

Reachによれば、過去12カ月で顧客数は倍増した。顧客としてAutodesk、Insurity、MPS、Ensemble Health Partnersが挙げられている。同社は売上高、評価額、顧客総数、継続率のデータを開示していない。

この不開示は重要である。顧客基盤の倍増は需要を示す可能性があるが、出発点や導入の深さについてはほとんど分からない。セキュリティプラットフォームは、企業のアイデンティティ、エンドポイント、メール、ネットワークの各システムへ拡大する前に、小規模な初期契約を獲得することがある。

独立した報道は、主要な資金調達の詳細を確認している。Axiosの取引まとめは、ラウンド、主導投資家、Ballistic Ventures、In-Q-Tel、M12の参加を掲載した。同社のSeries B発表は、より広範な製品および拡張計画を示している。

新たな資本は、2025年にM12主導で行われた戦略的投資に続くものだ。当時の報道によれば、この先行調達によりReachの累計調達額は3,000万ドルに達した。また、セキュリティ設定が承認済みのベースラインから逸脱した際に監視するConfigIQ Driftも支援した。

同時期の投資報道では、Reachはエクスポージャー管理にドメイン特化型AIを適用する企業として説明されていた。同社はすでに、構成ドリフト、ポリシー適用、修復、顧客が保有するセキュリティ製品のより効果的な活用を対象としていた。

最新の資金調達は、その戦略を置き換えるのではなく前進させるものだ。Reachは中央アプリケーションから、セキュリティ運用全体で使用されるAPI、ワークフロー、AIインターフェースへと拡張している。

Reach Everywhereは、その取り組みの配信レイヤーである。API、Model Context Protocolサーバー、テクノロジー統合を通じて、制御の健全性に関する情報を提供する。Model Context Protocol、すなわちMCPは、AIシステムがデータを要求し、承認済みツールを利用できるようにする標準インターフェースである。

この設計により、Reachのデータはエクスポージャー管理プログラム、セキュリティオペレーションセンター、インシデント対応ワークフロー、コンプライアンスシステムに組み込まれうる。また外部AIエージェントが、セキュリティ制御が有効かつ関連性を持つかを照会することも可能になる。

この違いは重要である。より良いアラートを受け取るだけでは、セキュリティチームはエクスポージャーを低減できない。誰か、または承認済みのシステムが、検出結果が重要かを判断し、安全な対応を選び、変更を実施し、結果を検証しなければならない。

Reach Security Series Bは、このアクションレイヤーが問題のインベントリをもう一つ増やすことよりも価値を持つようになる、という賭けである。

AIエクスポージャー管理が修復へ向かう理由

セキュリティチームが直面しているのは、単なる検出結果不足ではなく、優先順位付けと対応の問題である。

脆弱性スキャナー、アタックサーフェスツール、ペネトレーションテスト、脅威フィード、クラウドプラットフォームは、すでに膨大なキューを生み出している。生成AIは、コードとインフラをより高速に調査することで、その量をさらに増やしうる。

しかし、生の発見結果だけでは、攻撃者が脆弱な資産に到達できるかどうかは分からない。また、別の制御がすでにその経路を遮断しているかどうかも明らかにしない。

代替統制とは、望ましい修正を直ちに実施できない場合にリスクを低減する保護策である。エンドポイントポリシー、ファイアウォールルール、アイデンティティ制限、メール制御によって、ソフトウェアパッチが保留中でも攻撃経路を遮断できる場合がある。

Reachによれば、そのシステムは企業全体のセキュリティ製品からライブ構成を読み取る。続いて、エクスプロイト経路に到達可能性が残っているかを評価し、その結果に影響するルールを特定する。

このアプローチは、理論上の脆弱性と到達可能なエクスポージャーを分けることで作業を絞り込む。同社によれば、十分に活用されていない製品機能や、意図した状態から逸脱した設定も特定できる。

違いは運用上のものだ。アラート優先プラットフォームは、チームに何を調査すべきかを伝える。修復優先プラットフォームは、何が重要かを判断し、制御変更を推奨し、承認済みのワークフローで適用し、その結果を検証することを目指す。

これが、ReachがAIを活用した攻撃について主張する背景である。攻撃側ツールの高速化は、防御側がアラートを検証し、変更を調整するために使える時間を短縮する。しかし、攻撃者の速度や同社独自の対応能力に関する主張には、なお慎重な解釈が必要である。

FinTech Globalの資金調達報道によれば、Reachは承認済みの変更をServiceNow、Jira、または段階的自動化を通じてルーティングできる。同社は、変更が有効になる前に管理された環境でテストするとしている。

新たに活発化したエクスプロイトにさらされた、未パッチのサーバーを考えてみよう。パッチ適用には、テスト、保守時間帯、アプリケーション所有者の承認が必要になる場合がある。こうした手順は、セキュリティチームが許容できると考える時間より長くかかることがある。

Reachが提示する代替案は、周辺の防御を調査することだ。エンドポイントルールがすでにエクスプロイトを遮断していると判断する可能性もあれば、経路を一時的に閉じられるネットワーク設定を特定する可能性もある。

実用的な価値は証拠にある。プラットフォームは、その制御が有効で、最新の状態にあり、ポリシーを強制し、該当する攻撃経路上に配置されていることを示さなければならない。こうした確認がなければ、想定される緩和策は単なる仮定にすぎない。

構成ドリフトは、その証拠を一時的なものにする。管理者はポリシーを変更し、製品は更新され、資産は移動し、緊急例外は開いたまま残る。先月のレビューで機能した制御が、同じ経路をもはや保護していない可能性がある。

継続的な検証は、この変動する対象に対処する。インベントリ、スプレッドシート、過去の評価に依存するのではなく、防御の実際の状態を確認する。

同社の位置付けは、セキュリティツールの乱立に対する企業の疲弊も反映している。多くの組織はすでに、広範なエンドポイント、アイデンティティ、メール、ネットワーク防御を購入している。問題は多くの場合、一貫性のない構成や不完全な活用にある。

AIエクスポージャー管理は、既存投資からより大きな価値を得ることを約束するため、そうした買い手に訴求しうる。販売上の主張は、必ずしもスタックを置き換えることではない。スタックを、協調した一つの防御システムとして機能させることだ。

この約束はReachに厳しい負担を課す。プラットフォームは、異なるベンダーの製品、変化する構成スキーマ、各顧客の運用上の制約を理解しなければならない。また、安全な調整と正当な業務を妨げる調整とを区別する必要がある。

Reach Everywhereが制御データをアクションレイヤーへ変える

この製品の実際の仕組みは、ライブ構成、攻撃経路分析、管理された修復、継続的検証を結ぶフィードバックループである。

最初の段階は観測である。Reachはセキュリティ製品に接続し、エンドポイント、アイデンティティ、メール、ネットワーク防御などの領域にわたる現在の構成を読み取る。

第2段階は文脈的分析である。同社のAIは、それらの制御が資産、既知の弱点、潜在的な攻撃経路とどのように関係するかを評価する。Reachはそのアプローチを決定論的と説明しており、これは結果としてのアクションが、定義済みの構成と観測可能な証拠に結び付くべきことを意味する。

この用語は誤解すべきではない。すべての推奨が自動的に正しいという意味ではない。裏付けのない応答を生成するのではなく、現在の制御データに回答の根拠を置くことをシステムが目指している、という意味である。

第3段階は優先順位付けである。既存のルールがすでに経路を遮断している場合、関連する脆弱性は緊急性の低い対応を受けることができる。経路が開いたままであれば、エクスポージャーが実行可能であるため、問題の優先度は上がる。

第4段階は修復である。Reachによれば、正確な構成変更を推奨し、その変更を既存システムに渡すことができる。チームはServiceNowチケットで承認することも、Jiraで調整することも、Reachの段階的自動化を使用することもできる。

第5段階は検証である。システムは、調整が実施され、意図した経路を閉じたことを確認しなければならない。その後、継続的な監視により、後の変更がその保護を弱めていないかを確認する。

このループは、Reach Everywhereが名称から想像される以上に重要である理由を説明する。同社は、チームやAIシステムがセキュリティ判断を行うあらゆる場所に、同じ制御健全性レコードを表示させたいと考えている。

インシデント対応担当者は、侵入の際にどのルールが失敗したのかを確認できる。エクスポージャー管理チームは、脆弱性に機能する代替統制があるかを確認できる。コンプライアンスチームは、ポリシーが引き続き適用されている証拠を取得できる。

外部AIエージェントは、アクションを提案する前にMCPサーバーへ照会できる。これにより、エージェントが古い資産リストに依存したり、制御が存在すると誤って想定したりするリスクを低減できる可能性がある。

このアーキテクチャは、セキュリティ自動化と企業のナレッジ品質も結び付ける。AIシステムは、ソースデータが古い、不完全である、または運用上の文脈から切り離されている場合、より悪い判断を下す。

同じ原則はサイバーセキュリティ以外にも当てはまる。検索可能なナレッジベースは、回答が現在のソース資料と結び付いた状態にあるとき、より有用になる。セキュリティでは、不正確な回答が本番環境の防御を変更しうるため、重要度がさらに高まる。

したがってReachは、自社をセキュリティ制御の信頼できる情報源として位置付けている。ほとんどの企業は、すべての防御製品を横断する単一の信頼できる情報源を持たないため、この説明は野心的である。

ベンダーごとに、データモデル、権限、更新スケジュール、ポリシー構造は異なる。一部の制御はグローバルに適用される一方、他の制御はユーザー、デバイス、アプリケーション、ネットワークセグメントに依存する。

システムは、それらの差異を隠さずに翻訳しなければならない。対象範囲、例外、競合するポリシー、データの遅延を無視した単純な緑色のステータス表示は、運用担当者を誤導しかねない。

Reachの最も強い主張は、AIがこうした複雑さを取り除くということではない。定期的な手作業のレビューよりも速く、ソフトウェアがそれらを継続的に分析できるという点にある。

この仕組みは、人間の仕事をなくすのではなく、その役割を移すものでもある。アナリストは依然として、許容されるポリシーを定義し、どの変更に承認が必要かを判断し、例外を調査し、不確実な推奨をレビューする。

自動化は、反復的な点検と承認済みの変更を担う。リスク許容度と事業上の影響に対する責任は、人間に残る。

この役割分担が、顧客がReach Everywhereを信頼するかどうかを左右する。すべてのアクションに根拠となる証拠、限定的な権限、元に戻せる実行、明確な監査証跡が備わっていれば、企業は自動化を許可しやすくなる。

こうした統制を日常的なものにできれば、製品は成功する。何らかの変更を許可する前にチームがすべての推奨を手作業で検証しなければならないなら、苦戦するだろう。

アラート中心のプラットフォームは、いま修復能力を試されている

Reachは既存のエクスポージャー・プラットフォームがひしめく市場に圧力をかけているが、競合各社はすでに幅広いデータと企業との関係を有している。

Reachが参入するのは、何もないカテゴリーではない。購入企業は、Qualys、CrowdStrike、Tenable、XM Cyber、ArmorCode、その他のセキュリティ企業のプラットフォームを評価できる。

Gartner Peer Insightsは、Reachとともに検討されるエクスポージャー・プラットフォームの代替製品として、これらのベンダーを挙げている。このリストは、購買判断がいかに混み合っているかを示している。

競合各社が同じ問題を同じ方法で解決しているわけではない。脆弱性のカバレッジ、資産の発見、攻撃経路のマッピング、リスクスコアリング、統合エクスポージャーデータを重視する企業もある。エクスポージャーの検出結果を、より広範なエンドポイント製品やセキュリティ運用製品と結び付ける企業もある。

Reachの差別化要因は、セキュリティ制御の設定に焦点を当てている点だ。同社は、すでに環境全体に導入されている製品を調整・検証することで、組織はエクスポージャーを低減できると主張している。

これにより、本稿の中心的な対立軸が生まれる。自律的な修復と、アラート中心のエクスポージャー管理だ。この違いは、市場へのアプローチであり、特定のベンダーを明確に二分するものではない。

既存プラットフォームも、優先順位付け、自動化、修復機能を強化しつつある。Reachが拡大する間、彼らが静観することはない。Reachは、自社の制御レベルのデータとワークフローが、単に新しいだけでなく、実質的に優れていることを証明しなければならない。

既存企業の優位性はテレメトリーから始まる。大手セキュリティベンダーは、広範なエンドポイント、クラウド、アイデンティティ、脆弱性管理の導入環境から情報を収集している。このデータは優先順位付けを強化し、小規模なプラットフォームであれば統合を通じて取得しなければならない関係性を明らかにできる。

既存企業は、既存のコンソールと調達上の関係も保有している。CISOは、導入、統合、セキュリティレビュー、トレーニングを必要とする別のベンダーより、すでに契約済みのプラットフォーム内にある十分な機能を選ぶかもしれない。

Reachの反論は独立性にある。ベンダー中立のプラットフォームなら、特定のセキュリティスタックを優遇せず、複数製品にまたがる制御を点検できる。製品が競合するサプライヤーから提供されている場合でも、利用可能な最善の制御を推奨できる。

この独立性は、異種混在の企業環境で価値を持つ。すべてのエンドポイント、アイデンティティ、メール、ネットワーク、クラウド、アプリケーションセキュリティの機能にわたり、単一ベンダーに依存する大企業はほとんどない。

ただし、ベンダー中立性はそれ自体が作業負荷を生む。Reachは、サプライヤーがAPI、スキーマ、認証要件、ポリシーの挙動を変更するたびに統合を維持しなければならない。新製品が加わるごとに、障害や不完全なデータ返却が起こり得る領域が増える。

戦略的投資家は、その差を埋める助けになり得る。M12はReachをMicrosoftのエコシステムにつなぎ、In-Q-Telは要求水準の高い政府・情報機関の環境への関心を示している。どちらの関係も製品採用を保証するものではない。

連邦政府向けの拡大計画は、保証要件も引き上げる。政府機関の購入者は、詳細な文書、管理された導入オプション、調達レビュー、データ処理に関する証拠を求めることが多い。

Reachは、マシン速度の防御を説明するだけでは勝てない。不完全なテレメトリー、統合の失敗、競合する制御、異例の本番環境条件の下でも、プラットフォームが予測可能に動作することを示す必要がある。

同社の顧客事例は、初期のシグナルを示している。AutodeskのChief Trust OfficerであるSebastian Goodwinは、Reachが既存の防御でまだカバーされていないエクスポージャーにチームの焦点を絞る助けになると述べた。

この発言は、優先順位付けの有用性を裏付ける。ただし、自律的な変更があらゆる環境で安全であることや、Reachが競合プラットフォームを上回ることを独立して立証するものではない。

資金調達により、同社はこの証拠を構築する時間を得た。統合を拡張し、既存顧客内での導入を広げ、検証済みのリスク低減に結び付く成果データを収集できる。

競合側の対応は、同じアクションレイヤーに集中する可能性が高い。エクスポージャーベンダーは、制御に関する推奨、チケット連携、自動修復を追加できる。セキュリティスイートの提供企業は、こうした機能をすでに管理している製品に直接接続できる。

したがってReachに必要なのは、機能面での同等性以上のものだ。制御がどのように相互作用するかについて、ベンダーを横断して信頼できるモデルが必要になる。

自律的な修復は信頼とのトレードオフを生む

Reachが防御を変更する速度が速いほど、権限、テスト、証拠、ロールバックの統制が重要になる。

セキュリティ設定は、無害な管理上の詳細ではない。ファイアウォールの変更は顧客トラフィックを遮断し得る。アイデンティティポリシーは従業員を締め出す可能性がある。エンドポイントルールは重要なソフトウェアをブロックしたり、新たな監視上の盲点を生んだりすることがある。

そのため、偽陽性は通常のアラートノイズとは異なる。悪いアラートはアナリストの時間を浪費する。悪い自動アクションは本番システムに影響を及ぼしたり、セキュリティを弱めたりしかねない。

Reachは、安全な変更は段階的な自動化と管理された検証を通じて進められるとしている。購入企業は、「安全」が統合や環境ごとに何を意味するのかを検討しなければならない。

管理されたテストでは、本番環境におけるすべての依存関係を捉えられない場合がある。大半のデバイスでは正しく動作するルールが、古いオペレーティングシステム、遠隔拠点、特殊なアプリケーションでは失敗するかもしれない。

影響範囲も異なる。ある1人のユーザーのアクセスを厳格化することと、グローバルなアイデンティティポリシーを変更することは別物だ。企業には、対象範囲、可逆性、事業への影響を反映した承認基準が必要である。

データ品質も別のリスクとなる。Reach Everywhereは、最新の設定情報と資産情報に依存している。利用できないAPI、古いコネクター、不足している製品、誤ってマッピングされた資産は、攻撃経路の見え方を歪める可能性がある。

したがってプラットフォームは、不完全な証拠を確信に満ちた推奨へ変換するのではなく、不確実性を伝えるべきだ。運用担当者は、どのシステムが正常に報告したか、どのデータが古いか、どの結論が仮定に依存しているかを知る必要がある。

AIによる説明は、さらに別の層を加える。読みやすい根拠説明は、アナリストが提案されたアクションをレビューする助けになる。一方で、その記述が基礎となる証拠より明快に聞こえる場合、誤った確信を生むこともある。

最も堅牢な実装では、生成された説明と決定論的なポリシーチェックを分離するだろう。説明は変更が重要である理由を要約でき、構造化された証拠は、関与する制御、資産、ルール、タイムスタンプ、依存関係を示せる。

アクセスも同様に重要だ。複数のセキュリティ製品を再設定できるプラットフォームは、価値の高い標的になる。これを侵害した攻撃者は、防御スタック全体にわたる影響力を得る可能性がある。

Reachは認証情報を制限し、顧客環境を分離し、限定的な権限をサポートし、試行されたすべてのアクションを記録しなければならない。顧客は、緊急時の権限取り消しと復旧プロセスもテストすべきだ。

統合の広さは、統合の深さと衝突する場合がある。多くの製品をサポートすることは販売ページでは魅力的に見えるが、浅いコネクターでは、ベンダー固有の設定や異例のポリシー相互作用を見逃す可能性がある。

購入企業は、自社環境内の正確な製品と設定を評価すべきである。長い統合リストがあるからといって、すべてのコネクターが同じ点検、修復、検証機能をサポートしていることにはならない。

商業面の証拠も依然として限られている。Reachは、顧客の人件費削減とプラスのリターンを報告した独立分析を引用している。その結果を別の企業に当てはめる際には、方法論と顧客構成が重要になる。

同社は顧客数の増加を開示しているが、継続収益、拡張率、導入規模は開示していない。こうした指標は、広範な採用と初期実験を区別する助けになるだろう。

これは製品の有効性を否定するものではない。Reach Security Series B後にもなお必要な証明を定義するものである。

最も説得力のある証拠は、管理された顧客成果から得られる。Reachは、到達可能なエクスポージャーを減らし、修復時間を短縮し、重大なサービス停止を回避できることを示すべきだ。

失敗についても報告すべきである。購入企業は、推奨がどの程度の頻度で却下されるのか、変更にロールバックが必要となる頻度はどの程度か、どの統合が不確実な結論を生むのかを知る必要がある。

自律的な防御は、攻撃者がAIを使うという主張だけに依拠することはできない。それが置き換えるシステムよりも高い運用基準を満たさなければならない。

Reach Everywhereが機能するかを示す3つのシグナル

統合の深さ、検証済みの顧客成果、管理された自動化の採用が、Reachがインフラストラクチャーになるのか、それとも助言レイヤーにとどまるのかを明らかにする。

第1のシグナルは、統合の深さである。Reachはパートナーシップの拡大を計画しているが、本質的な問いは、各接続が実際に何をできるかだ。

強力な統合は、ライブ設定を読み取り、制御を関連資産にマッピングし、正確な変更を推奨し、承認済みのプロセスを通じて実行し、その結果を検証できるべきだ。読み取り専用の可視化も有用だが、完全な修復の主張を支えるものではない。

この完全なループを実現する新たな統合は、Reachの主張を強める。浅いコネクターのカタログだけが急速に拡大すれば、その主張は弱まる。

第2のシグナルは、独立して検証可能な顧客パフォーマンスだ。Reachによると、顧客基盤は倍増し、名前が明かされた企業は時間の節約とより鋭い優先順位付けについて述べている。

次の段階は、導入が到達可能な攻撃経路と修復時間を減らすという証拠である。有用な報告には、承認率、ロールバックの頻度、検出された制御ドリフト、実行後に検証された変更が含まれるだろう。

こうした測定は、企業自身の分析と第三者による検証を分けるべきである。また、開始時点の環境、導入範囲、評価期間も説明すべきだ。

複数のエンタープライズスタックにわたる強い結果は、Reachの信頼できる情報源としての位置付けを支える。限定的な構成に限られた結果なら、このモデルは依然として一般化が難しいことを示唆する。

第3のシグナルは、顧客が推奨と自律的実行の間でどのように仕事を分担するかである。企業は、AIによるエクスポージャーの順位付けを信頼しても、自動変更を許可するまでには時間を要するかもしれない。

Reachは助言モードでも価値を生み出せる。しかし、そのマシン速度の防御という主張は、顧客が時間の経過とともにより多くの自動修復を承認することに依存している。

重要な指標は、自動化のトグルが存在するかどうかではない。信頼性の高いパフォーマンスを確認した後、チームが承認済みアクションの範囲を拡大するかどうかである。

その採用は段階的に進み得る。顧客は低リスクの変更、限定された資産グループ、あるいはチケット化された推奨から始めるかもしれない。その後、プラットフォームが正確な運用実績を築くにつれ、自動化を拡張できる。

拡張はReach Security Series Bの論拠を強めるだろう。推奨の範囲を超えて進むことへの根強い慎重さは、信頼が依然として制約要因であることを示す。

競合他社の動きも、三つのシグナルほどではないにせよ重要だ。確立されたエクスポージャー管理プラットフォームは、製品横断的な修復機能や、より深い設定検証の追加で対抗できる。

Reachが優位性を維持できるのは、その制御モデルと統合の実行力を容易に再現できない場合に限られる。資金調達だけで、その防御力が生まれるわけではない。

より大きな市場の変化は、すでに明確に見えている。セキュリティの購買担当者は、プラットフォームが検出結果を具体的なアクションへ結び付けることをますます求めている。脆弱性の一覧を増やすだけでは、もはや十分な進展とは見なされない。

Reachは、この変化の中で難度の高いポジションを選んだ。エンタープライズのセキュリティ制御、人間のオペレーター、ワークフロー、AIエージェントの間をつなぐ、信頼されるレイヤーになることを目指している。

自動化されたセキュリティ判断はすべて、正確な運用コンテキストに依存するため、この役割には価値がある。同時に、一つのレイヤーの欠陥が複数のシステムに誤った判断を伝播させ得るため、リスクも集中する。

エンタープライズの購買担当者は、簡略化されたデモではなく、自社を最もよく代表する構成で製品を検証すべきだ。あらゆる推奨事項について根拠の提示を求め、自動化を拡大する前にロールバックを訓練する必要がある。

セキュリティリーダーは、Reach Everywhereと、自社が既存プラットフォームですでに利用できる修復機能を比較することもできる。判断基準にすべきなのは、製品説明にAIが含まれていることではなく、検証済みのリスク低減だ。

Reach SecurityのSeries Bは、同社に自社の主張を実証するための資金を与える。次の証明は、顧客がシステムによる変更をどこまで安全に許容するかによって示される。