Loading article…
ソフトウェアサプライチェーンとは、ソフトウェア成果物の開発、構築、公開に使用されるコンポーネント、ライブラリ、ツール、プロセスです。[1]
ソフトウェア部品表（SBOM ）は、オープンソースおよび独自のソフトウェアコンポーネントを含む、ソフトウェア成果物の構築に使用されるコンポーネントのインベントリを宣言します。[2] [3]これは、サプライチェーン管理の一部として使用される従来の製造BOMのソフトウェア版です。[4]
使用法
SBOMを使用すると、開発者はオープンソースおよびサードパーティのソフトウェアコンポーネントが最新であることを確認し、新しい脆弱性に迅速に対応できます。[5]購入者やその他の利害関係者は、SBOMを使用して脆弱性またはライセンス分析を実行し、製品のリスクを評価および管理できます。[6] [7] [8]
多くの企業が一般的な BOM 管理にスプレッドシートを使用していますが、スプレッドシートに書き込まれた SBOM には追加のリスクと問題があります。SBOM を他の自動化システムの一部にし、他のアプリケーションから簡単にクエリできるリポジトリにまとめて保存するのがベスト プラクティスです。[引用が必要]
立法
2014年のサイバーサプライチェーン管理および透明性法[9]は、政府機関が購入するすべての新製品にSBOMを取得すること、および「米国政府が使用するすべてのソフトウェア、ファームウェア、または製品」にSBOMを取得することを義務付けることを提案した、米国の失敗した法案でした。この法律は、その後の「2017年のモノのインターネットサイバーセキュリティ改善法」などの法律の制定を促しました。[10] [11]
2021年5月12日の米国の国家サイバーセキュリティ向上に関する大統領令は、NISTとNTIAに、 SBOMを含むソフトウェアサプライチェーン管理のガイドラインを定めるよう命じた。[12] NTIAは、SBOMの最小要素を3つの大まかなカテゴリーにまとめている。データフィールド（各ソフトウェアコンポーネントに関するベースライン情報）、自動化サポート（機械可読形式および人間が読める形式でSBOMを生成する機能）、およびプラクティスとプロセス（組織がSBOMを生成する方法とタイミング）である。[13] 「自動化サポート」要件は、「自動生成」の必要性を規定しており、これはソフトウェア構成分析（SCA）ソリューションの使用によって可能になる。[14]
参照
参考文献
- ^ 「For Good Measure Counting Broken Links: A Quant's View of Software Supply Chain Security」(PDF) 。USENIX ;ログイン。 2022年12月17日時点のオリジナルよりアーカイブ(PDF) 。 2022年7月4日閲覧。
- ^ 「[パート 2] コード、自動車、議会: サイバー サプライ チェーン管理の時代」。2015 年 6 月 14 日時点のオリジナルよりアーカイブ。2015年 6 月 12 日閲覧。
- ^ 「ソフトウェア部品表」。ntia.gov。2022年11月30日時点のオリジナルよりアーカイブ。2021年1月25日閲覧。
- ^ 「コード、車、議会：サイバーサプライチェーン管理の時代」。2014年12月30日時点のオリジナルよりアーカイブ。2015年6月12日閲覧。
- ^ 「ソフトウェア部品表が知的財産管理を向上」。Embedded Computing Design。2018年8月25日時点のオリジナルよりアーカイブ。2015年6月12日閲覧。
- ^ 「サードパーティのサービスおよび製品プロバイダー向けの適切なソフトウェアセキュリティ制御タイプ」(PDF)。Docs.ismgcorp.com。2023年 1 月 19 日のオリジナルからアーカイブ(PDF) 。2015年 6 月 12 日取得。
- ^ 「Top 10 2013-A9-Using Components with Known Vulnerabilities」。2019年10月6日時点のオリジナルよりアーカイブ。2015年6月12日閲覧。
- ^ 「サプライチェーンにおけるサイバーセキュリティリスク」（PDF）。Cert.gov.uk。2023年6月6日時点のオリジナルよりアーカイブ。2020年7月28日閲覧。
- ^ “HR5793 - 第113回議会（2013-2014年）：2014年サイバーサプライチェーン管理および透明性法 - Congress.gov - 米国議会図書館”. 2014年12月4日. 2022年12月16日時点のオリジナルよりアーカイブ。 2015年6月12日閲覧。
- ^ 「2017年モノのインターネットサイバーセキュリティ改善法」（PDF） 。 2023年1月19日時点のオリジナルよりアーカイブ（PDF）。2020年2月26日閲覧。
- ^ 「2017年サイバーセキュリティ改善法：過去の議会の亡霊」2017年8月17日。2022年12月16日時点のオリジナルよりアーカイブ。2020年2月26日閲覧。
- ^ 「国家のサイバーセキュリティ向上に関する大統領令」ホワイトハウス。2021年5月12日。2021年5月15日時点のオリジナルよりアーカイブ。2021年6月12日閲覧。
- ^ 「ソフトウェア部品表 (SBOM) の最小要素」。NTIA.gov 2021-07-12。2023-06-05 にオリジナルからアーカイブ。2021-12-12に取得。
- ^ 「NTIA がソフトウェア部品表の最小要素を発表」。NTIA.gov 2021-07-12。2022-11-22 時点のオリジナルよりアーカイブ。2022-03-22に取得。