ソフトウェアサプライチェーンセキュリティの強化
SBOMと段階的なセキュリティテストにより、信頼できるソフトウェアサプライチェーンを構築
開発会社から受け取ったSBOM、本当に信頼できますか?
ソフトウェア運用企業は、供給元から提供されたSBOM(Software Bill of Materials)を活用してソフトウェアのリスクを管理できます。しかし、SBOMの受け渡し過程で改ざんや偽造が行われると、ソフトウェア構成要素の情報が改変され、適切な脆弱性管理が行えなくなる可能性があります。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は「SBOM Sharing Primer」でSBOMを安全に共有するための方法を示しており、SBOMの活用が世界的に広がる中、その機密性と完全性の確保がますます重要になっています。
ソフトウェアの透明性を確保し、安全なサプライチェーンを構築するには、単にSBOMを提供するだけでなく、追加のセキュリティ対策が必要です。デジタル署名によってSBOMの完全性を確認し、信頼できるプラットフォームを通じて受け渡しの安全性を確保する必要があります。これにより、運用企業は提供されたソフトウェアの完全性と信頼性を確認し、供給元との信頼関係に基づいた、より効果的なセキュリティ管理体制を構築できます。
提供されたソフトウェアに脆弱性がないか、どのように確認していますか?
ソフトウェアサプライチェーン攻撃を未然に防ぐには、導入から運用・保守に至るまで、ソフトウェアの脆弱性を継続的に特定・対応する体系的なプロセスが不可欠です。しかし、多くの運用企業では、ソフトウェア導入時にのみセキュリティ点検を行い、その後はリソースや時間の不足から継続的な点検を実施できていないのが現状です。
ソフトウェアの導入時には、開発会社がセキュアコーディングを遵守しているかを確認し、ビルド段階で自動化されたセキュリティテストを実施して、リリース前に脆弱性が解消されたことを確認する必要があります。また、SBOMの提出を求めてソフトウェア構成要素を把握し、脆弱性を継続的に監視することで、脆弱性が見つかった際には速やかに開発会社へ修正を依頼できます。
ソフトウェアの安全性を、どのように保証できますか?
米国大統領令14028の発表以降、米国国立標準技術研究所(NIST)は、ソフトウェアサプライチェーンのセキュリティ強化に向け、開発プロセス全体への自動化されたセキュリティテストの導入や、SBOMを活用した継続的な管理・監視を推奨しています。米国CISAの「Secure by Design」誓約でも、ソフトウェアのリリース前に脆弱性を最小限に抑えることが求められています。日本でも経済産業省がSBOM導入に関する手引きを公表し、ソフトウェア構成要素の把握・管理を推進しています。
そのため開発会社は、ソフトウェアの設計段階からセキュリティを考慮し、セキュアコーディングを実践するとともに、さまざまなセキュリティテストを活用してソフトウェアの安全性を確保することが求められています。さらに、ソフトウェア開発ライフサイクルの各段階でSBOMを生成し、構成要素を確認することで、リスクを早期に特定できます。
Sparrowが提案するソフトウェアサプライチェーンセキュリティ強化戦略
SBOMの補強・証明・共有により相互の信頼を確保
Sigstore Cosignを用いたデジタル署名により、SBOMの作成者と完全性を明確に検証できる仕組みを構築し、単なる文書ではなく「検証可能なSBOM」を提供します。また、Sparrow SecureHubを通じて安全なSBOM共有の仕組みを提供し、SBOMを体系的に管理することで、信頼性の高いソフトウェアサプライチェーン管理の新たな基準を提示します。
継続的なソフトウェアセキュリティのためのSBOM分析・テスト自動化
SBOMの分析・比較機能によってソフトウェア構成要素を特定し、脆弱性管理の基盤を整えます。必要に応じてソースコード解析、Web脆弱性診断、オープンソース分析を行い、潜在的なセキュリティ脅威を迅速に特定し、対応できます。また、CI/CDパイプラインとの連携や定期分析機能によってセキュリティチェックを自動化します。オープンソースの脆弱性情報は、国内外の脆弱性データベースをもとにリアルタイムで更新されるため、ソフトウェアのセキュリティを継続的に維持できます。
段階的な脆弱性チェックでソフトウェアのセキュリティを確保
開発段階ではソースコード解析を、テスト・運用段階ではWeb脆弱性診断を行い、結果レポートを作成して運用企業に提供できます。オープンソースについては、設計・開発・ビルド・デプロイの各段階でSBOMを生成し、リスク要因を特定するとともに、生成履歴を明確に追跡することで、ソフトウェアの信頼性を高めることができます。
